Mirage Kitten targeting aviation and FinTech sectors across the Middle East and Africa with a new malware set

Mirage Kitten : Nouvelle campagne d’espionnage via des défis de codage piégés

Le groupe APT Mirage Kitten a diversifié son arsenal en intégrant deux nouveaux chevaux de Troie d’accès distant (RAT) multiplateformes : NodeRabbit et PollCat. Développés en Node.js et JavaScript, ces outils ciblent les systèmes Windows, Linux et macOS. Cette campagne vise principalement les secteurs de la FinTech et de l’aviation au Moyen-Orient et en Afrique.

Points clés

• Vecteur d’attaque : Les attaquants se font passer pour des recruteurs sur des plateformes comme LinkedIn. Ils incitent les ingénieurs logiciels à télécharger des archives ZIP contenant de faux tests techniques (« coding challenges »).
• Méthode de compromission : Les archives contiennent des dépendances npm malveillantes (ex: colorized_terminal, pretty-log) qui exécutent le malware dès le lancement du projet.
• Évolution tactique : Contrairement aux habitudes du groupe (malwares natifs C/C++), l’utilisation de Node.js permet une portabilité accrue et une meilleure intégration dans les environnements de développement.
• Persistance sophistiquée : NodeRabbit et PollCat utilisent des mécanismes variés : clés de registre, tâches planifiées, entrées cron, et même l’injection de hooks Git ou la création de fausses extensions VS Code.

Vulnérabilités et techniques exploitées

• Ingénierie sociale : Exploitation de la confiance des développeurs envers les outils de travail et l’urgence induite par des tests techniques chronométrés.
• Abus d’infrastructure : Utilisation intensive des services Azure Websites et de domaines hébergés sur Cloudflare pour faire passer le trafic C2 (Command & Control) pour du trafic métier légitime.
• Absence de CVE : Cette campagne n’exploite pas une vulnérabilité logicielle spécifique (CVE), mais détourne des processus de travail légitimes par l’exécution de code malveillant intégré dans des dépendances.

Recommandations de sécurité

• Vigilance sur les recrutements : Se méfier des offres d’emploi exigeant le téléchargement et l’exécution immédiate de projets logiciels provenant de sources non vérifiées.
• Audit des dépendances : Scanner systématiquement les archives de tests techniques. Un outil d’analyse de code ou une IA aurait pu détecter l’importation suspecte de paquets npm inconnus dans les fichiers server.js ou package.json.
• Surveillance des logs : Surveiller les exécutions inhabituelles de processus Node.js, particulièrement ceux se lançant depuis des répertoires temporaires ou de configuration (.cache, AppData, ~/.config).
• Politique d’exécution : Restreindre l’exécution de scripts Node.js non signés ou provenant de sources externes sur les postes de travail des développeurs.
• Analyse comportementale : Les nouvelles variantes de NodeRabbit vérifient l’environnement (détection d’outils d’analyse ou de faible activité système). Utiliser des solutions EDR capables de détecter les comportements suspects (appels C2, modification de registre, persistance cron).

Source