Technologue.id, Jakarta – Kelompok peretas Mirage Kitten menggunakan cara baru untuk menyusup ke perangkat developer di sektor penerbangan dan teknologi finansial (fintech). Dalam kampanye terbaru yang ditemukan Kaspersky GReAT, kelompok tersebut menyamar sebagai perekrut perusahaan teknologi melalui LinkedIn dan menawarkan proses rekrutmen kepada calon korban.
Serangan ini terutama menyasar organisasi di kawasan Timur Tengah dan Afrika, khususnya Mesir, Ethiopia, dan Afghanistan. Namun, malware yang berkaitan dengan kampanye tersebut juga ditemukan di sejumlah negara lain, seperti Jerman, Turki, Israel, India, dan Irlandia.
Temuan ini merupakan perkembangan terbaru dari aktivitas Mirage Kitten. Sebelumnya, Kaspersky mengungkap keberadaan backdoor Windows baru yang digunakan kelompok tersebut dalam operasi spionase siber.
Serangan dimulai melalui rekayasa sosial. Pelaku membuat akun LinkedIn yang seolah-olah milik perekrut atau spesialis pencarian talenta dari perusahaan teknologi besar.
Mereka kemudian menghubungi insinyur perangkat lunak yang bekerja di sektor penerbangan dan teknologi finansial. Korban ditawari mengikuti proses seleksi berupa tes kemampuan teknis.
Pelaku selanjutnya mengirimkan tautan untuk mengunduh coding challenge atau tantangan pemrograman. Tautan tersebut ditempatkan di layanan penyimpanan cloud Amazon yang sah sehingga terlihat lebih meyakinkan bagi korban.
Untuk membuat korban segera menjalankan file tersebut, pelaku memberikan batas waktu yang cukup singkat, yakni sekitar satu hingga tiga jam.
Menariknya, korban juga diminta tidak menggunakan asisten pemrograman berbasis AI saat mengerjakan tes. Menurut Kaspersky, larangan tersebut diduga dibuat karena alat AI kemungkinan dapat mendeteksi kode berbahaya yang sengaja disembunyikan di dalam paket coding challenge.
Ketika korban mengunduh dan menjalankan tantangan pemrograman tersebut di komputer kerja, malware mulai bekerja di belakang layar. Sementara korban mengira sedang mengerjakan tugas untuk proses rekrutmen, program berbahaya diam-diam memasang dirinya di perangkat.
Kampanye terbaru ini juga menunjukkan perubahan teknik yang digunakan Mirage Kitten.
Sebelumnya, kelompok tersebut banyak menggunakan malware yang dibuat dengan bahasa pemrograman seperti C, C++, atau Go dan menargetkan sistem operasi Windows.
Kini, Mirage Kitten menggunakan Node.js dan JavaScript untuk membuat malware. Pendekatan ini memungkinkan mereka menggunakan satu basis kode untuk menyerang perangkat berbasis Windows, macOS, maupun Linux.
Kaspersky menemukan setidaknya dua keluarga malware baru dalam kampanye tersebut, yaitu NodeRabbit dan PollCat.
NodeRabbit merupakan Remote Access Trojan (RAT) berbasis Node.js yang disembunyikan di dalam paket pengembangan perangkat lunak yang terlihat normal.
Setelah berhasil masuk ke komputer korban, malware ini dapat memberikan kendali kepada penyerang. NodeRabbit juga memiliki kemampuan untuk mempertahankan aksesnya dalam perangkat.
Salah satu caranya adalah dengan memasang ekstensi ruang kerja palsu yang berjalan bersama Microsoft Visual Studio Code, aplikasi yang banyak digunakan pengembang untuk menulis kode.
Malware tersebut juga dapat memodifikasi repositori kode lokal milik pengembang. Dengan cara ini, ancaman dapat dijalankan secara otomatis ketika korban menyimpan atau melakukan merge kode dalam proyek mereka.
Sementara itu, PollCat merupakan RAT berbasis JavaScript. Malware ini menunggu korban memasukkan kode atau "kata sandi sekali pakai" yang diberikan oleh pelaku dengan alasan untuk mengakses tantangan pemrograman.
Setelah aktif, PollCat dapat mengumpulkan informasi mengenai sistem korban, memindai berbagai direktori dan mengirimkan data tersebut kepada penyerang.
Menurut Kaspersky GReAT, perubahan teknik tersebut menunjukkan bahwa Mirage Kitten semakin memanfaatkan aktivitas sehari-hari para pengembang untuk menyusup ke lingkungan perusahaan.
"Peralihan dari malware tradisional hasil kompilasi ke ancaman berbasis JavaScript menandai perubahan taktik Mirage Kitten," ujar Omar Amin, pakar keamanan di Kaspersky GReAT.
Menurutnya, dengan memanfaatkan proses rekrutmen dan menyisipkan kode berbahaya ke dalam perangkat kerja yang biasa digunakan developer, kelompok tersebut dapat masuk ke lingkungan perusahaan tanpa mudah terdeteksi.
Developer juga menjadi target menarik bagi kelompok spionase siber karena mereka biasanya memiliki akses cukup luas terhadap sistem, kode sumber, dan jaringan internal perusahaan.