Taktik Rekrutmen Palsu: Menargetkan Software Engineer di LinkedIn
Kelompok peretas asal Iran, Nimbus Manticore (juga dilacak dengan julukan Iranian Dream Job atau Mirage Kitten), melancarkan kampanye spionase siber baru yang membidik para pengembang perangkat lunak (software engineers). Peneliti keamanan dari Kaspersky mengungkap bahwa kelompok ini menyamar sebagai staf perekrut (talent acquisition specialist) dari perusahaan teknologi ternama di platform LinkedIn dan portal pencari kerja.
Target didekati dengan tawaran lowongan kerja posisi engineering menarik, lalu diminta menyelesaikan tugas tantangan pemrograman teknis (coding challenge) berbatas waktu tanpa bantuan alat kecerdasan buatan (AI).
Dua Varian Malware Lintas Platform: NodeRabbit & PollCat
Berbeda dari operasi terdahulu yang mengandalkan biner C/C++ atau Go, kini Nimbus Manticore memperluas jangkauan serangannya ke lingkungan Windows, Linux, dan Apple macOS menggunakan Remote Access Trojan (RAT) berbasis Node.js dan JavaScript:
- NodeRabbit: Disusupkan melalui berkas arsip proyek manajemen tugas (Taskflow). Kandidat diminta memperbaiki bug pada frontend dan diinstruksikan untuk tidak menyentuh berkas
server.jsdengan alasan berkas tersebut bebas dari kesalahan. Di dalam berkas itulah penyerang menyematkan paket npm berbahaya (colorized_terminalataupretty-log) yang langsung mengeksekusi implant jahat di latar belakang saat server dijalankan. - PollCat: Didistribusikan melalui arsip tes React bergaya tantangan CTF. Proyek ini memuat modul validasi OTP palsu berdurasi 1 jam untuk memicu rasa urgensi agar korban segera menjalankan proyek di komputernya.
Kapabilitas Bahaya, Injeksi Git Hooks & Ekstensi VS Code Palsu
Kedua varian malware dibekali dengan kapabilitas kendali jarak jauh yang agresif untuk memata-matai korban:
- Eksekusi Perintah Arbitrer: Operator C2 dapat menjalankan perintah shell arbitrer, membaca memori proses, serta mengunduh atau mengunggah berkas sensitif.
- Injeksi Git Hooks & Pencurian Repositori: Varian terbaru NodeRabbit mampu memindai direktori proyek Git lokal korban, mencuri data riwayat commit, serta menginjeksi skrip peluncur jahat langsung ke dalam Git hooks repositori.
- Pemasangan Ekstensi VS Code Palsu: Malware berupaya memasang ekstensi Visual Studio Code palsu bernama "GitHub Copilot Helper" sebagai mekanisme persistensi tersembunyi.
- Persistensi Multi-OS: Berkamuflase sebagai pembaruan peramban Microsoft Edge atau Intel Support Assistant di Windows, berkas cron di Linux, dan Launch Agent di macOS.
Infrastruktur Command-and-Control (C2) Berbasis Cloud
Komunikasi antara implant dan penyerang dialirkan melalui infrastruktur cloud Microsoft Azure (seperti domain plugplay.azurewebsites[.]net dan rgbteller.azurewebsites[.]net) melalui serangkaian endpoint API khusus, sehingga lalu lintas data terlihat wajar dan lolos dari inspeksi firewall korporat.
Panduan Keamanan bagi Software Engineer & Perusahaan
Mengingat maraknya taktik trojanized coding challenge yang menyasar para profesional teknologi:
- Gunakan Lingkungan Terisolasi (Sandbox / VM): Jangan pernah menjalankan atau menguji berkas proyek tes koding dari pihak ketiga langsung di komputer utama. Selalu gunakan Virtual Machine (VM) atau kontainer Docker sekali pakai.
- Waspadai Folder
node_modulesBawaan: Periksa secara teliti berkas proyek yang sudah menyertakan foldernode_moduleslokal di dalam arsip ZIP tanpa melalui proses instalasinpm installdari registry resmi. - Verifikasi Profil Perekrut: Pastikan keaslian identitas perekrut melalui saluran resmi korporat sebelum mengunduh atau membuka lampiran berkas tantangan teknis.
- Audit Ekstensi IDE & Skrip Otomasi Git: Periksa daftar ekstensi aktif pada Visual Studio Code dan audit berkas hooks di folder
.git/hookssecara berkala.
Sumber Informasi
Artikel ini disusun berdasarkan publikasi riset intelijen ancaman Kaspersky Securelist dan laporan The Hacker News.
🔗 Sumber asli: The Hacker News — Iranian Hackers Pose as Recruiters to Deliver Cross-Platform RATs Through Coding Tests