Kelompok spionase siber Mirage Kitten kembali menjalankan operasi serangan yang menyasar sektor strategis. Kaspersky GReAT mengungkap kampanye terbaru kelompok tersebut yang memanfaatkan komunikasi rekrutmen palsu melalui LinkedIn untuk menyebarkan spyware lintas platform berbasis Node.js dan JavaScript.
Serangan ini menyasar perusahaan di sektor penerbangan dan teknologi finansial (fintech), terutama di kawasan Timur Tengah dan Afrika, dengan Mesir, Ethiopia, dan Afghanistan menjadi negara yang terdampak. Malware yang berkaitan dengan kampanye tersebut juga terdeteksi di Jerman, Turki, Israel, India, dan Irlandia.
Temuan terbaru ini melanjutkan pengungkapan Kaspersky pada Juli lalu mengenai backdoor Windows baru yang dikaitkan dengan Mirage Kitten. Namun, dalam kampanye terbaru, kelompok tersebut memperluas kemampuan serangannya dengan memanfaatkan teknologi yang lebih fleksibel dan dapat beroperasi lintas sistem operasi.
Modus serangan dimulai melalui rekayasa sosial di LinkedIn. Pelaku menyamar sebagai perekrut atau spesialis pencarian talenta dari perusahaan teknologi besar dan menghubungi insinyur perangkat lunak yang bekerja di industri penerbangan maupun teknologi finansial.
Korban kemudian ditawari mengikuti proses penilaian teknis dan diminta mengunduh coding challenge melalui tautan yang di-hosting pada layanan penyimpanan cloud Amazon yang sah. Penggunaan layanan cloud legal tersebut membuat aktivitas penyerang menjadi lebih sulit dicurigai.
Untuk meningkatkan tekanan terhadap calon korban, pelaku memberikan batas waktu pengerjaan yang relatif singkat, yakni sekitar satu hingga tiga jam. Korban juga diminta tidak menggunakan asisten pemrograman berbasis kecerdasan buatan (AI), yang diduga dilakukan untuk mencegah kode berbahaya dalam paket tersebut terdeteksi.
Begitu coding challenge dijalankan di komputer korban, malware mulai bekerja secara tersembunyi. Saat pengembang fokus mengerjakan tugas pemrograman, perangkat mereka justru telah menjadi pintu masuk bagi penyerang untuk mendapatkan akses ke lingkungan perusahaan.
Perubahan terbesar dalam operasi Mirage Kitten terletak pada teknologi malware yang digunakan. Jika sebelumnya kelompok tersebut banyak mengandalkan program native berbasis C, C++ atau Go yang terutama menyasar sistem operasi Windows, kini mereka beralih menggunakan Node.js dan JavaScript.
Perubahan tersebut memungkinkan Mirage Kitten membangun satu basis kode yang dapat digunakan untuk menyerang perangkat berbasis Windows, macOS, maupun Linux. Strategi ini berpotensi memperluas cakupan serangan sekaligus menyulitkan perusahaan dalam mengidentifikasi pola ancaman yang digunakan.
Kaspersky mengidentifikasi dua keluarga malware baru dalam kampanye ini, yakni NodeRabbit dan PollCat. NodeRabbit merupakan Remote Access Trojan (RAT) berbasis Node.js yang disembunyikan di dalam paket pengembangan perangkat lunak yang tampak umum.
Setelah berhasil masuk, NodeRabbit memberikan kendali kepada penyerang atas perangkat korban. Malware ini juga menggunakan teknik persistensi yang dirancang khusus untuk lingkungan kerja pengembang, termasuk memasang ekstensi ruang kerja palsu yang berjalan bersama Microsoft Visual Studio Code.
Tidak berhenti di sana, NodeRabbit juga dapat memodifikasi repositori kode lokal pengembang sehingga ancaman dapat dijalankan secara otomatis ketika korban menyimpan atau menggabungkan kode proyek.
Sementara itu, PollCat merupakan RAT berbasis JavaScript. Malware ini menunggu korban memasukkan kata sandi sekali pakai yang diberikan oleh perekrut palsu sebelum menjalankan aktivitas berbahaya. Setelah aktif, PollCat dapat mengumpulkan informasi sistem, memindai direktori, dan mengirimkan data tersebut kepada penyerang.
Kaspersky menilai strategi baru Mirage Kitten menunjukkan bagaimana kelompok Advanced Persistent Threat (APT) semakin memanfaatkan aktivitas bisnis sehari-hari sebagai jalur masuk ke jaringan perusahaan.
“Peralihan dari malware tradisional hasil kompilasi ke ancaman berbasis JavaScript menandai perubahan taktik Mirage Kitten. Dengan membajak proses perekrutan dan menyisipkan kode secara langsung ke dalam perangkat kerja pengembang sehari-hari, kelompok ini mampu menembus batasan keamanan perusahaan secara diam-diam,” kata Omar Amin, pakar keamanan di Kaspersky GReAT.
Menurut dia, pengembang menjadi target bernilai tinggi karena umumnya memiliki hak akses yang lebih luas terhadap sistem dan jaringan internal perusahaan.
“Pengembang biasanya memiliki hak akses istimewa dalam jaringan perusahaan, sehingga mereka menjadi target bernilai sangat tinggi bagi operasi spionase siber tingkat lanjut,” ujarnya.
Kampanye ini sekaligus menunjukkan bahwa ancaman siber tidak selalu masuk melalui celah teknis pada infrastruktur perusahaan. Proses rekrutmen yang tampak normal dapat dimanfaatkan sebagai pintu masuk, terutama ketika korban memiliki akses terhadap kode sumber, repositori, sistem pengembangan, dan berbagai sumber daya internal perusahaan.
Untuk menghadapi ancaman seperti Mirage Kitten, Kaspersky merekomendasikan perusahaan memperkuat perlindungan endpoint sekaligus meningkatkan kemampuan deteksi dan respons terhadap serangan. Perusahaan juga mendorong organisasi memanfaatkan solusi keamanan yang menyediakan visibilitas terhadap aktivitas mencurigakan serta kemampuan investigasi dan respons melalui teknologi EDR dan XDR.
Selain perlindungan teknis, Kaspersky menekankan pentingnya layanan keamanan terkelola, termasuk Compromise Assessment, Managed Detection and Response (MDR), serta Incident Response. Layanan tersebut ditujukan untuk membantu perusahaan mendeteksi, menyelidiki, dan merespons serangan yang sulit teridentifikasi, termasuk bagi organisasi yang belum memiliki tim keamanan siber internal dengan kapasitas memadai.
Kaspersky juga menilai pemanfaatan threat intelligence menjadi semakin penting untuk memberikan konteks terhadap ancaman yang menargetkan organisasi. Dengan informasi tersebut, tim keamanan dapat mengidentifikasi risiko secara lebih cepat dan menentukan langkah mitigasi sepanjang siklus penanganan insiden.
