LONDON (IT BOLTWISE) – Eine von Nimbus Manticore zugeschriebene Angriffsserie tarnt Cross-Plattform-Remote-Access-Trojaner als harmlos wirkende „Coding Challenge“-Archive. Laut Kaspersky laufen dabei mehrere Schadprogramme aus trojanisierten npm-Paketen und melden sich über Azure gehostete Command-and-Control-Endpunkte. Besonders auffällig: Die Laderoutine steckt in einer als bugfrei beworbenen „server.js“-Datei, die im ZIP bereitgestellt wird. Damit verschiebt sich die Schadsoftware weg von rein plattformnaher Entwicklung hin zu einer einheitlichen JavaScript-Codebasis für Windows, Linux und macOS.
Die Vorgehensweise erinnert auf den ersten Blick an einen klassischen Recruiting-Phishing-Ansatz: Nimbus Manticore spricht Zielpersonen über jobbezogene Kanäle an, fordert sie zu einer technischen „Engineering Challenge“ auf und versucht, dass die Teilnehmenden die vorbereiteten Projektdateien lokal ausführen. Neu ist dabei weniger das Motiv als der technische Baukasten. Laut Kaspersky werden zwei bisher nicht dokumentierte Malware-Familien unter den Namen NodeRabbit und PollCat beschrieben, die als Cross-Plattform-RATs (Remote-Access-Trojaner) auch Linux- und macOS-Umgebungen ansteuern sollen. Für Unternehmen ist das vor allem deshalb relevant, weil Entwicklerarbeitsplätze und CI-nahe Maschinen in der Praxis häufig heterogen sind – und genau diese Mischung nun mit einer gemeinsamen JavaScript-Implementierung ausgenutzt werden kann.
Bei NodeRabbit beginnt die Kette in dem Moment, in dem ein ZIP-Archiv mit dem Namen „Front-Technical-Challenge.zip“ als vermeintliche Rolle für ein Engineering-Assessment bereitgestellt wird. Der Köder wirkt wie ein typisches Projekttraining, inklusive Aufgabenstellung, Zeitfenster und dem Verweis, keine KI-Tools für die Lösung zu verwenden. Entscheidend ist jedoch der inhaltliche Widerspruch: Die Anleitung sagt, die Backend-Komponente („server.js“) sei bugfrei und dürfe nicht verändert werden, während genau dort die Schadlogik eingebettet ist. Kaspersky beschreibt, dass in der ersten Zeile von „server.js“ ein manipuliertes npm-Paket („colorized_terminal“, Version 2.1.0) importiert wird. Der Mechanismus folgt einem Muster, das in der Praxis besonders schwer zu erkennen ist: Das Paket wird nicht wie üblich über das npm-Registry veröffentlicht, sondern direkt im bereitgestellten Projektbaum unter „node_modules“ mitgeliefert; beim Import startet der Code dann „still“ einen Implant aus einem Cache-Verzeichnis als abgekoppelten Hintergrundprozess. Damit entsteht eine für Security-Teams ungünstige Kombination aus scheinbar normalem Node.js-Workflow und einer Ladephase, die erst zur Laufzeit auffällt.
Technisch ist NodeRabbit so aufgebaut, dass es seine Befehle serverseitig nachlädt und Zustandsinformationen über mehrere Azure-basierte Endpunkte übermittelt. Kaspersky nennt drei Azure-hosted Command-and-Control-Adressen („plugplay.azurewebsites[.]net“, „rgbteller.azurewebsites[.]net“ und „wslwebui.azurewebsites[.]net“), die über drei API-Pfade angesprochen werden: zum Check-in, zum Polling auf Kommandos und zum Zurückmelden von Ergebnissen. Das Funktionsspektrum ist breit und entspricht dem, was man bei einem RAT erwartet: Host-Details sammeln, laufende Prozesse listen, beliebige Shell-Kommandos ausführen, Verzeichnisse enumerieren und Dateien in Chunks lesen und base64-kodiert zurückgeben. Auch Schreiben mit wählbarem Offset, Löschen sowie rekursive Löschoperationen gehören dazu; außerdem unterstützt die Malware das Erstellen von Verzeichnissen, das Auslesen von Adaptern, MAC-Adressen, IP-Adressen und DNS-Einstellungen sowie das Anpassen des Beacon-Intervalls. Auffällig ist daneben eine Anti-Forensik-Variante: NodeRabbit schreibt einen base64-kodierten Node.js-Launcher in eine zufällig benannte „.tmp“-Datei, führt sie aus und entfernt die Datei anschließend wieder.
Der eigentliche Strategiewechsel zeigt sich aber in den Varianten und Persistenzmechanismen. Kaspersky dokumentiert zwei weitere NodeRabbit-Varianten mit gleicher Code-Linie, aber unterschiedlichen trojanisierten npm-Abhängigkeiten: eine Version nutzt statt „colorized_terminal“ das Paket „pretty-log“ (Version 2.1.0) und bricht ab, wenn es eine Analyseumgebung erkennt; zudem implementiert sie teilweise Support für Corporate Proxies. Eine dritte Variante startet ebenfalls über „pretty-log“, verwendet allerdings andere API-Endpunkte, bleibt funktional jedoch auf derselben Zielstrecke. Für die Persistenz greift die Malware auf OS-typische Startpfade zurück: auf Windows beispielsweise über Run-Registry-Keys, auf Linux über cron-Einträge und auf macOS über Launch Agents. In zwei Fällen wird die Persistenz zudem so gewählt, dass sie legitimen Updateroutinen nachgeahmt wird (einmal in Richtung eines Browser-Updates, einmal in Richtung von Intel Driver & Support Assistant). Beim dritten Ansatz wird außerdem die Windows Subsystem for Linux-Schicht (WSL) berücksichtigt, indem ein täglicher Task um 10:00 Uhr eine Windows-Basis-Komponente über „wscript.exe“ und „wsl.exe“ anstößt. Für Defender ist das bedeutsam, weil es nicht genügt, nur „klassische“ Startup-Mechanismen zu überwachen: Auch Entwickler- und Interop-Szenarien werden zum Einstiegspunkt.
Nimbus Manticore kombiniert diese JavaScript-orientierten Komponenten offenbar mit einem ähnlich inszenierten zweiten Köder: PollCat. Laut Kaspersky wird dieser über zeitlich limitierte „developer assessments“ verteilt und als Projekt getarnt, das CTF-Terminologie verwendet, obwohl es kein echtes Capture-the-Flag-Format ist. Im Archiv finden sich Hinweise wie ein Root-Paket namens „ctf-server“, Textausgaben, die einen „ctf“-Serverlauf propagieren, sowie tutorialartige Pfade im Projekt. Kaspersky führt als plausible Erklärung an, dass ein Angreifer einen KI-Coding-Assistant zur Vorlagen-Erstellung genutzt und danach schädliche Komponenten eingefügt habe. Unabhängig von der Quelle der Vorlage bleibt der Ablauf technisch anspruchsvoll: Ein PDF-Tutorial fordert zur Eingabe eines alle 30 Sekunden erneuerten sechsstelligen OTP auf, während das Archiv dennoch unabhängig von der OTP-Prüfung bereits weiteren Schadcode starten kann. Eine erfolgreiche Validierung liefert zusätzliche Zugriffstickets über ein JWT und löst eine weitere PollCat-Instanz aus – damit können Betreiber sowohl das Sichtfenster für den User als auch die tatsächliche Aktivierung der Implantate fein steuern.
Für die Systemkontrolle unterstützt PollCat 22 Kommandos und nutzt sieben API-Endpunkte, die von einem Beacon über Client-Registrierung bis hin zu Dateitransfers und dem Upload von Chunk-Fortschritten reichen. Die Befehle decken ein breites Backdoor-Set ab: Dateibetrieb, Shell-Kommandos, Datei-Upload/-Download, Ausführung von JavaScript, das Laden von DLLs sowie das Erstellen oder Entpacken von ZIP-Archiven. Daneben kann PollCat Prozesse auflisten oder beenden, laufende Devices, Drives, Volumes und Mount Points enumerieren und zusätzlich über spezielle Kommandos die C2-Konfiguration austauschen, sobald ein Operator dies möchte. Besonders interessant ist, dass PollCat Ordner sucht, die zu zahlreichen Software- und Security-Anbietern passen (unter anderem Google, Microsoft, Cisco, VMware, Fortinet, Citrix, Check Point, verschiedene Endpoint-Security-Anbieter sowie bekannte Cloud- und Monitoring-Ökosysteme). Dabei wird nicht rekursiv in die komplette Produktstruktur hineingestapelt, sondern der Root-Umfang erfasst und als JSON an den Ausgabepfad übertragen. So entsteht ein „profiling“-fähiger Überblick, ohne sofort massenhaft an Datenvolumen anzuschließen.
Aus Marktsicht zeigt der Schritt zu Cross-Plattform-Scripting, warum Security-Teams den Entwicklungsaufwand vieler Angreifer unterschätzen: Ein einzelner Codebase-Ansatz kann Windows-, Linux- und macOS-Umgebungen bedienen, ohne dass für jede Zielplattform ein komplett neues Tooling entstehen muss. Kaspersky verknüpft die Aktivität zudem strukturell mit früheren Nimbus-Manticore-Beobachtungen, unter anderem über Ähnlichkeiten beim Command-Handling, beim Beacon-Timing und beim Kommando-Set zu einem zuvor als MiniFast (auch MiniUpdate oder Retrograde bezeichnet) beschriebenen Backdoor, inklusive der Nutzung von Azure Websites und Cloudflare-gestützten Domains. Für die Praxis bedeutet das: Wenn Unternehmen ihre Abwehr nur auf plattformspezifische Startspuren oder rein native Binaries ausrichten, bleiben genau die „Developer-Lab“-Szenarien Lücken. Gleichzeitig können sich Chancen ergeben: Transparente npm-Abhängigkeitsprüfung, Signatur- und Integrity-Checks auf „node_modules“-Artefakte sowie die Überwachung von unerwarteten Persistenzpfaden (inklusive WSL-naher Ketten) lassen sich relativ zielgenau in bestehenden CI- und Endpoint-Workflows verankern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Nimbus Manticore setzt bei KI-Coding-Tests auf Node.js-RATs für Linux und macOS" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Nimbus Manticore setzt bei KI-Coding-Tests auf Node.js-RATs für Linux und macOS" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Nimbus Manticore setzt bei KI-Coding-Tests auf Node.js-RATs für Linux und macOS« bei Google Deutschland suchen, bei Bing oder Google News!