Mirage Kittenの攻撃手法変化：偽の採用選考とNode.js系バックドア（NodeRabbit / PollCat）

イラン系とされるAPT攻撃グループ「Mirage Kitten（別名：UNC1549, Smoke Sandstormなど）」が、航空分野やフィンテック分野を主な標的として新たな攻撃を展開していることが確認されました。
従来、このグループはC/C++やGo言語で記述されたネイティブマルウェアを主に使用していましたが、本キャンペーンでは攻撃手法を刷新し、Node.jsおよびJavaScriptベースの新たなバックドア（RAT） を投入しています。
今回特定された新規マルウェア「NodeRabbit」および「PollCat」の概要と、採用されたソーシャルエンジニアリング手法、技術的特徴についてみてみましょう。

• 偽の採用選考を装った初期侵入手法（ソーシャルエンジニアリング）
  • 偽リクルーターの接近:
    攻撃者はLinkedInなどの職業SNSでIT企業の採用担当者を装い、開発者やエンジニアにアプローチします。
  • コーディングテストの配布:
    選考課題（コーディングテスト）と称して、Amazon S3等のクラウドストレージに配置したZIPアーカイブ（例: Front-Technical-Challenge.zip）のダウンロードを指示します。
  • 巧妙な罠（悪意あるnpmパッケージ）:
    アーカイブ内には正常に動作するWebアプリ（React/Express等）が含まれていますが、公式のnpmレジストリを介さず、配布用アーカイブ内の node_modules ディレクトリ内に悪意あるパッケージ（colorized_terminal や pretty-log など）が直接配置・同梱されています。開発者がプロジェクトを実行すると、コード経由でバックドアがバックグラウンド実行されます。
  • AI・解析回避の「3時間ルール」:
    READMEファイルには「制限時間3時間」「AIアシスタントの利用禁止」といったルールが明記されています。短い制限時間を設けることで標的にコードを精査させず「急いで実行しなければならない」と心理的圧力をかけるとともに、AIによるコードレビューで不正なインポートが検出されるのを防ぐ意図があると分析されています。
• クロスプラットフォーム対応の「NodeRabbit RAT」
  Node.jsで構築されたクロスプラットフォーム型の遠隔操作ツール（RAT）で、Windows、Linux、macOSのいずれの環境でも動作可能です。主な特徴は以下の通りです。
  • 多面的な永続化（Persistence）メカニズム:
    • Windows: プロセスを秘匿するため、node.exe をコピーしてコンソールウィンドウ非表示仕様（nodew.exe）に改変し、レジストリ（HKCU…Run）に登録します。
    • Linux: コマンド登録（cron の @reboot）を利用して起動時に実行させます。
    • macOS: LaunchAgents（.plist ファイル）を設定して常駐化を図ります。
  • 通信の暗号化とC2管理:
    C2サーバ（主にAzure上のインフラ）との通信には AES-256-GCM 暗号化を使用します。
  • 豊富なリモート操作コマンド:
    システム情報の収集、プロセス・ファイル操作、任意のシェルコマンド実行やJavaScriptコードの動的実行コマンドを保持しています。
  • サンドボックス・解析の検知（進化版変種）:
    解析環境（CPU数・メモリ容量の不足、セキュリティツールのプロセスなど）を検知すると、正規サイト（Google, Microsoft, Cloudflare）へ無害なリクエスト（HEADリクエスト）を送信して正常な通信を装いつつ、C2へ接続せずにプロセスを終了する回避機能を備えています。
• JavaScriptベースのバックドア「PollCat RAT」
  NodeRabbitとともに発見された別のバックドアで、難読化されたJavaScriptで記述されています。
  • NodeRabbitと同様に偽のコーディングテスト課題を介して配信されます。
  • 端末情報（ホスト名、ユーザ名、MACアドレスなど）を難読化した暗号処理でC2サーバへ定期的に送信（ビーコン通信）し、受け取った遠隔操作命令を実行します。

今回の事例は、高度なAPTグループが従来のバイナリ形式のマルウェアから、Node.js / JavaScript などのスクリプト環境・開発用エコシステムを悪用するアプローチへと移行・多角化していることを示す典型的な例です。

特に、開発者が日常的に行う「サードパーティ製パッケージの利用」や「採用選考におけるコード実行」という無警戒になりがちな行動空間を狙ったソーシャルエンジニアリングは強力です。
開発組織においては、外部から入手した未検証のコードやプロジェクトファイルをローカル環境で直接実行せず、隔離されたサンドボックス環境やコンテナ上で安全にテスト・確認する体制を整えることが強く推奨されます。

Mirage Kitten targeting aviation and FinTech sectors across the Middle East and Africa with a new malware set
https://securelist.com/mirage-kitten-new-backdoors-noderabbit-pollcat/121244/