JawaPos.com - Pelaku kejahatan siber kembali memanfaatkan modus rekrutmen palsu untuk menargetkan pekerja di sektor teknologi. Kaspersky GReAT mengungkap kampanye serangan terarah yang dilakukan kelompok Mirage Kitten dengan menyamar sebagai perekrut di LinkedIn.
Omar Amin, pakar keamanan di Kaspersky GReAT, mengatakan perubahan metode yang digunakan Mirage Kitten menunjukkan adanya evolusi dalam strategi serangan kelompok tersebut.
Dia menjelaskan bahwa peralihan dari malware tradisional hasil kompilasi ke ancaman berbasis JavaScript menandai perubahan taktik Mirage Kitten. Dengan membajak proses perekrutan dan menyisipkan kode secara langsung ke dalam perangkat kerja pengembang sehari-hari, kelompok ini mampu menembus batasan keamanan perusahaan secara diam-diam.
“Pengembang biasanya memiliki hak akses istimewa dalam jaringan perusahaan, sehingga mereka menjadi target bernilai sangat tinggi bagi operasi spionase siber tingkat lanjut," kata Omar Amin, pakar keamanan di Kaspersky GReAT.
Dalam aksinya, kelompok tersebut membidik insinyur perangkat lunak yang bekerja di sektor penerbangan dan teknologi finansial (fintech) di kawasan Timur Tengah dan Afrika. Mesir, Ethiopia, dan Afghanistan menjadi sejumlah negara yang menjadi sasaran utama.
Kaspersky juga menemukan keberadaan malware terkait kampanye tersebut di sejumlah negara lain, seperti Jerman, Turki, Israel, India, dan Irlandia. Temuan terbaru ini melanjutkan pengungkapan Kaspersky pada Juli lalu mengenai backdoor Windows baru yang dikaitkan dengan Mirage Kitten.
Menyamar sebagai Perekrut di LinkedIn
Serangan diawali dengan teknik rekayasa sosial. Pelaku membuat identitas palsu sebagai tenaga perekrutan dari perusahaan teknologi besar di LinkedIn, kemudian menghubungi pengembang perangkat lunak yang dianggap sesuai dengan target mereka.
Korban selanjutnya ditawari mengikuti proses penilaian teknis. Perekrut palsu tersebut kemudian memberikan tautan untuk mengunduh materi coding challenge yang disimpan melalui layanan penyimpanan cloud Amazon yang sebenarnya merupakan layanan sah.
Agar korban tidak memiliki banyak waktu untuk melakukan pemeriksaan, pelaku memberikan tenggat pengerjaan yang sangat singkat, yakni sekitar satu hingga tiga jam. Korban juga diminta tidak menggunakan asisten pemrograman berbasis AI.
Larangan tersebut diduga menjadi bagian dari strategi pelaku. Pasalnya, penggunaan alat bantu AI berpotensi membantu pengembang menemukan kode mencurigakan yang sengaja disisipkan ke dalam paket coding challenge.
Ketika korban mengunduh dan menjalankan program tersebut di komputer kerja, proses infiltrasi mulai berlangsung. Di tengah aktivitas korban mengerjakan tugas pemrograman, malware secara diam-diam dipasang pada perangkat tanpa disadari.
Kini Bisa Menyerang Tiga Sistem Operasi
Kaspersky menyebut Mirage Kitten sebelumnya lebih banyak menggunakan malware native yang dikembangkan dengan bahasa pemrograman seperti C, C++, atau Go. Serangan mereka juga berfokus pada perangkat dengan sistem operasi Windows.
Namun, kelompok tersebut kini mengubah pendekatannya dengan menggunakan Node.js dan JavaScript. Perubahan ini memungkinkan mereka menggunakan satu basis kode untuk menargetkan perangkat Windows, macOS, maupun Linux.
Dalam kampanye terbaru tersebut, Kaspersky menemukan dua keluarga malware baru. Jenis malware yang digunakan disesuaikan dengan target yang menjadi sasaran.
Malware pertama bernama NodeRabbit. Ini merupakan Remote Access Trojan (RAT) berbasis Node.js yang disamarkan di dalam paket pengembangan perangkat lunak yang umum digunakan.
Setelah berhasil menginfeksi perangkat, NodeRabbit memberikan kemampuan kepada pelaku untuk mengendalikan mesin korban. Malware tersebut juga dilengkapi mekanisme persistensi yang menyasar kebiasaan para pengembang.
Salah satu caranya dengan memasang ekstensi ruang kerja palsu yang dapat berjalan bersamaan dengan Microsoft Visual Studio Code. Malware juga dapat memodifikasi repositori kode lokal sehingga ancaman bisa aktif secara otomatis ketika korban menyimpan atau melakukan merge pada kode proyek.
Sementara itu, malware kedua disebut PollCat. Sama seperti NodeRabbit, PollCat merupakan RAT, tetapi dikembangkan menggunakan JavaScript.
Malware tersebut akan menunggu korban memasukkan kata sandi sekali pakai yang sebelumnya diberikan oleh perekrut palsu untuk membuka akses ke tantangan pemrograman. Setelah korban memasukkan kode tersebut, PollCat dapat mengumpulkan informasi sistem, memeriksa direktori perangkat, hingga mengirimkan data yang diperoleh kepada pelaku.