Mirage Kitten sta usando finti test di selezione per colpire sviluppatori in aviazione, aerospace e fintech con due RAT finora non documentati, NodeRabbit e PollCat. Kaspersky ha collegato la campagna a vittime in Afghanistan, Egitto ed Etiopia, passate da LinkedIn e da altri job platform.
Il trucco è semplice e funziona perché si appoggia sulla fiducia del processo di assunzione: il candidato scarica un coding challenge che sembra normale e lo esegue sulla macchina di lavoro. Il codice nascosto parte insieme al test e dà agli attaccanti accesso remoto, con la possibilità di leggere informazioni, modificare file ed eseguire altri comandi; su un portatile di sviluppo questo può aprire source, credenziali e strumenti interni.
Per chi assume sviluppatori, il punto non è solo bloccare una mail sospetta. Il rischio si sposta sul modo in cui si gestisce il codice non fidato inviato da candidati o contractor, perché il vettore passa da un colloquio finto a una workstation che spesso contiene già asset preziosi.