Selular.ID – Kaspersky GReAT telah mengidentifikasi kampanye serangan terarah oleh Mirage Kitten yang menggunakan komunikasi rekrutmen palsu di LinkedIn.
Serangan juga mengarah ke spyware lintas platform baru berbasis Node.js dan JavaScript yang menyasar sektor penerbangan dan fintech di Timur Tengah dan Afrika—khususnya Mesir, Ethiopia, dan Afghanistan.
Malware yang terkait dengan serangan baru ini juga terdeteksi di beberapa negara lain, termasuk Jerman, Turki, Israel, India, dan Irlandia.
Temuan ini menyusul penemuan Kaspersky baru-baru ini mengenai backdoor Windows baru milik Mirage Kitten yang dilaporkan pada bulan Juli.
Umpan serangan: Perekrut palsu di LinkedIn
Rangkaian serangan ini, termasuk di LinkedIn bermula dengan rekayasa sosial.
Penyerang menyamar sebagai spesialis perekrutan talenta di perusahaan teknologi besar di LinkedIn dan menghubungi insinyur perangkat lunak yang bekerja di bidang penerbangan dan teknologi keuangan.
Kandidat diundang untuk mengikuti penilaian teknis dan dikirimi tautan untuk mengunduh tantangan coding (coding challenge) yang di-hosting di layanan penyimpanan cloud Amazon yang sah.
Untuk memberikan tekanan pada kandidat, penyerang menetapkan batas waktu yang ketat—antara satu hingga tiga jam—dan melarang penggunaan asisten kode berbasis AI (karena alat ini kemungkinan besar akan mendeteksi kode berbahaya yang disembunyikan di dalam paket tersebut).
Baca juga:
- Ada Temuan 15.163 Malware di Indonesia Selama Q1 2026, Waspadai Hal Ini
- SilverFox Sebar Malware Lewat Aplikasi Claude Palsu, Indonesia hingga China Jadi Sasaran
Begitu pengembang mengunduh dan menjalankan tantangan pemrograman tersebut di stasiun kerja mereka, infiltrasi pun dimulai.
Saat pengembang yang menjadi korban sibuk mengerjakan mockup perangkat lunak, malware tersebut secara diam-diam menginstal dirinya sendiri di belakang.
Beralih ke taktik baru
Sebelumnya, Mirage Kitten mengandalkan program native yang ditulis dalam bahasa C, C++, atau Go, dengan target lingkungan Windows semata.
Dengan menulis ulang perangkat serangan mereka menggunakan Node.js dan JavaScript, kelompok ini kini telah mengembangkan basis kode tunggal yang mampu menyerang Windows, macOS, dan Linux secara mulus.
Kaspersky telah mengidentifikasi dua keluarga malware baru dalam kampanye ini, dan masing-masing keluarga malware tersebut disebarkan bergantung pada target korbannya.
Entitas pertama adalah NodeRabbit, sebuah Remote Access Trojan (RAT) berbasis Node.js yang disembunyikan di dalam paket pengembangan umum.
Malware ini memberikan kendali penuh kepada penyerang atas mesin yang terinfeksi.
Untuk mempertahankan aksesnya, malware ini menggunakan metode persistensi canggih yang dirancang khusus untuk pengembang.
Misalnya, menginstal ekstensi ruang kerja palsu yang berjalan bersamaan dengan Microsoft Visual Studio Code atau memodifikasi repositori kode lokal pengembang agar secara otomatis menjalankan ancaman tersebut setiap kali mereka menyimpan atau menggabungkan (merge) kode proyek mereka.
Malware kedua juga merupakan Remote Access Trojan, namun kali ini berbasis JavaScript, yang diberi nama PollCat.
Program ini menunggu kandidat memasukkan “kata sandi sekali pakai”; (yang diberikan oleh ‘perekrut’) untuk mengakses tantangan tersebut, lalu mengumpulkan informasi sistem, memindai direktori, dan mengirimkan data ke pihak penyerang.
“Peralihan dari malware tradisional hasil kompilasi ke ancaman berbasis JavaScript menandai perubahan taktik Mirage Kitten,” komentar Omar Amin, pakar keamanan di Kaspersky GReAT.
Dengan membajak proses perekrutan dan menyisipkan kode secara langsung ke dalam perangkat kerja pengembang sehari-hari, kelompok ini mampu menembus batasan keamanan perusahaan secara diam-diam,”
“Pengembang biasanya memiliki hak akses istimewa dalam jaringan perusahaan, sehingga mereka menjadi target bernilai sangat tinggi bagi operasi spionase siber tingkat lanjut,” tandas Omar.
