JAKARTA (IndoTelko) - Proses rekrutmen profesional di LinkedIn kini dimanfaatkan kelompok siber untuk menyusup ke perangkat pengembang. Kaspersky Global Research & Analysis Team (GReAT) mengungkap kampanye baru kelompok Mirage Kitten yang menyamarkan serangan sebagai tawaran pekerjaan.
Kampanye tersebut menyasar terutama sektor penerbangan dan teknologi finansial di Timur Tengah dan Afrika, dengan target yang ditemukan di Mesir, Ethiopia, dan Afghanistan. Aktivitas malware terkait juga terdeteksi di Jerman, Turki, Israel, India, dan Irlandia.
Modusnya dimulai ketika pelaku menyamar sebagai perekrut dari perusahaan teknologi besar melalui LinkedIn. Mereka menghubungi pengembang perangkat lunak dan menawarkan proses seleksi berupa coding challenge.
Korban kemudian diarahkan mengunduh paket tantangan dari layanan penyimpanan cloud Amazon yang sah. Pelaku bahkan memberikan tenggat hanya satu hingga tiga jam dan meminta kandidat tidak menggunakan asisten pemrograman berbasis AI.
Setelah paket dijalankan, malware bekerja di belakang layar ketika korban mengerjakan tugas pemrograman.
Serangan Lintas Platform
Kaspersky menemukan perubahan signifikan dalam teknik Mirage Kitten. Jika sebelumnya kelompok ini mengandalkan malware native berbasis C, C++ atau Go untuk Windows, kini perangkat serangannya dikembangkan menggunakan Node.js dan JavaScript.
Perubahan tersebut memungkinkan satu basis kode digunakan untuk menyerang Windows, macOS, maupun Linux.
Dua malware baru teridentifikasi dalam kampanye ini, yakni NodeRabbit dan PollCat. Keduanya merupakan Remote Access Trojan (RAT) yang memungkinkan penyerang mengakses dan mengambil informasi dari perangkat korban.
NodeRabbit disisipkan dalam paket pengembangan dan memiliki mekanisme persistensi yang menyasar kebiasaan pengembang. Salah satunya dengan memasang ekstensi Visual Studio Code palsu atau memodifikasi repositori kode lokal agar malware dapat aktif ketika kode disimpan atau digabungkan.
Sementara PollCat menunggu korban memasukkan kode akses yang diberikan oleh pelaku yang mengaku sebagai perekrut. Setelah aktif, malware dapat mengumpulkan informasi sistem, memindai direktori, serta mengirimkan data kepada penyerang.
“Peralihan dari malware tradisional hasil kompilasi ke ancaman berbasis JavaScript menandai perubahan taktik Mirage Kitten. Dengan membajak proses perekrutan dan menyisipkan kode langsung ke perangkat kerja pengembang, kelompok ini mampu menembus batasan keamanan perusahaan secara diam-diam,” ujar Omar Amin, pakar keamanan Kaspersky GReAT.
Menurutnya, pengembang menjadi sasaran bernilai tinggi karena umumnya memiliki akses cukup luas terhadap jaringan dan sumber daya perusahaan.
Kaspersky mengingatkan organisasi untuk memperkuat perlindungan endpoint, pemantauan aktivitas mencurigakan, serta kemampuan deteksi dan respons terhadap serangan. Perusahaan juga merekomendasikan pemanfaatan solusi Kaspersky Next serta layanan seperti Compromise Assessment, Managed Detection and Response (MDR), dan Incident Response.
Selain itu, Kaspersky mendorong tim keamanan memanfaatkan Threat Intelligence untuk memperoleh konteks mengenai ancaman dan mengidentifikasi potensi risiko lebih dini.
Temuan terbaru ini menegaskan bahwa serangan siber semakin memanfaatkan jalur nonteknis. Rekrutmen, proses seleksi kerja, hingga perangkat pengembangan yang dipercaya pengguna kini dapat dijadikan pintu masuk untuk menjalankan operasi spionase siber. (mas)