Der Ablauf folgt einem eingespielten Muster: Angebliche Personalvermittler kontaktieren ihre Ziele auf Jobportalen mit scheinbar seriösen Stellenangeboten. In einem dokumentierten Fall gab sich ein Angreifer als Recruiter eines nicht namentlich genannten großen Technologiekonzerns aus und bat einen Softwareentwickler um die Bearbeitung eines technischen Tests. Das Opfer sollte eine Programmieraufgabe herunterladen, die im Cloud-Speicherdienst von Amazon lag, und das Projekt möglichst sofort ausführen.
Ein in Afghanistan gefundenes Schadarchiv enthielt einen Programmiertest, bei dem Bewerber eine Anwendung prüfen und deren Fehler innerhalb von drei Stunden beheben sollten. Ausdrücklich untersagt war der Einsatz von KI-Assistenten – nach Einschätzung der Kaspersky-Forscher möglicherweise, um zu verhindern, dass solche Werkzeuge den im Projekt versteckten Schadcode entdecken. Startete der Entwickler das Projekt, lief die verborgene Schadkomponente mit.
NodeRabbit erlaubt den Angreifern nach der Installation, Informationen über das Opfer und dessen Rechner zu sammeln, Dateien anzulegen oder zu verändern und weitere Befehle auszuführen – also vollen Fernzugriff auf das kompromittierte System. Kaspersky entdeckte den Trojaner zuerst auf einem System in Afghanistan und fand später Varianten auf Rechnern in Ägypten und Äthiopien.
Eine vergleichbare Vorgehensweise fanden die Forscher bei PollCat, der zweiten bislang undokumentierten Malware-Familie. Sie ist darauf ausgelegt, den Angreifern dauerhaften Zugang zu befallenen Rechnern zu verschaffen und weitere Schaddateien nachzuladen. In dieser Kampagne blieb den Zielpersonen nur eine Stunde für den Programmiertest, zudem benötigten sie einen sechsstelligen Zugangscode vom angeblichen Recruiter. Die Codes wurden als einmalig verwendbar und nur kurz gültig beschrieben – zusätzlicher Druck, das Projekt schnell zu öffnen.
Um ihre Aktivitäten schwerer erkennbar und nachverfolgbar zu machen, nutzt Mirage Kitten laut Kaspersky legitime Infrastruktur von Microsoft Azure und Cloudflare. In einigen Fällen bauten die Angreifer den Namen der angegriffenen Organisation in eine Azure-Subdomain ein, damit die Kommunikation zwischen infiziertem Gerät und ihren Servern eher wie gewöhnlicher Unternehmensnetzverkehr aussieht.
Auch die Taktik ist nicht neu: Mirage Kitten hat sich schon zuvor auf LinkedIn als Personalvermittler ausgegeben und mit gefälschten Jobangeboten Beschäftigte sensibler Branchen in der Region angegriffen, wie die Forscher anmerken.