Waspada Lowongan Kerja Palsu di LinkedIn, Ada RAT NodeRabbit dan PollCat

Harianjogja.com, JOGJA— Tawaran pekerjaan dari perekrut di LinkedIn ternyata bisa menjadi pintu masuk serangan siber. Kaspersky mengungkap kampanye yang memanfaatkan lowongan kerja dan tes pemrograman palsu untuk menyebarkan dua Remote Access Trojan (RAT) baru bernama NodeRabbit dan PollCat.

Kampanye tersebut dikaitkan Kaspersky dengan kelompok Advanced Persistent Threat (APT) Mirage Kitten. Target utamanya adalah sektor penerbangan dan teknologi finansial (fintech) di kawasan Timur Tengah dan Afrika.

Dalam temuan Tim Riset dan Analisis Global (GReAT) Kaspersky, aktivitas malware terdeteksi di Mesir, Ethiopia, dan Afghanistan. Jejak terkait juga ditemukan di Jerman, Turki, Israel, India, dan Irlandia. Temuan ini muncul setelah Kaspersky pada Juli 2026 mengungkap backdoor Windows baru yang dikaitkan dengan Mirage Kitten.

Rekruter Palsu Kirim Tes Coding Berbahaya

Serangan dimulai ketika pelaku menyamar sebagai spesialis perekrutan dari perusahaan teknologi besar di LinkedIn. Sasaran yang dihubungi merupakan insinyur perangkat lunak, terutama mereka yang bekerja di sektor penerbangan dan fintech.

Korban kemudian ditawari mengikuti penilaian teknis dan diminta mengunduh proyek yang disebut sebagai coding challenge. Berkas tersebut ditempatkan di layanan penyimpanan cloud Amazon yang sah sehingga tautannya terlihat lebih meyakinkan.

Pelaku juga menciptakan rasa terburu-buru dengan memberikan waktu pengerjaan yang terbatas. Dalam salah satu skenario yang dianalisis Kaspersky, kandidat diminta menyelesaikan tes dalam hitungan jam.

Instruksi tersebut bahkan melarang kandidat menggunakan asisten pemrograman berbasis AI. Menurut Kaspersky, pembatasan ini dapat mencegah alat pemeriksa kode menemukan komponen mencurigakan yang disisipkan dalam proyek.

Alih-alih hanya berisi soal pemrograman, proyek tersebut telah dimodifikasi sehingga komponen berbahaya dapat berjalan ketika korban menjalankannya. Kaspersky menemukan paket npm yang telah ditrojanisasi di dalam proyek, bukan sekadar tautan ke program berbahaya yang terlihat jelas.

NodeRabbit Bisa Menyerang Windows, Linux, dan macOS

Mirage Kitten sebelumnya dikenal menggunakan malware native yang dibuat dengan bahasa seperti C, C++, dan Go. Dalam kampanye terbaru ini, kelompok tersebut beralih menggunakan Node.js dan JavaScript.

Perubahan tersebut membuat malware dapat digunakan pada beberapa sistem operasi. NodeRabbit merupakan RAT berbasis Node.js yang dirancang untuk Windows, Linux, dan macOS.

Kaspersky pertama kali menemukan sampel NodeRabbit pada sistem di Afghanistan. Penelusuran berikutnya menemukan dua varian yang lebih maju pada sistem di Mesir dan Ethiopia.

Malware tersebut disembunyikan di dalam proyek tes pemrograman. Kaspersky menemukan, antara lain, paket npm yang telah dimodifikasi dan diberi nama colorized_terminal serta pretty-log, keduanya menggunakan versi 2.1.0.

NodeRabbit tidak berhenti pada pencurian informasi dasar. Malware ini dapat memberikan kemampuan kendali jarak jauh kepada operator, termasuk menjalankan perintah dan memanipulasi file pada perangkat yang terinfeksi.

Pada varian yang lebih baru, Mirage Kitten juga memanfaatkan lingkungan kerja pengembang untuk mempertahankan akses. Teknik yang ditemukan Kaspersky mencakup penyalahgunaan ekstensi Microsoft Visual Studio Code dan modifikasi repositori kode lokal sehingga malware dapat dipicu ketika pengembang menyimpan atau menggabungkan kode.

PollCat Mengintai dari Balik Tes Pemrograman

Malware kedua yang ditemukan Kaspersky adalah PollCat. RAT ini ditulis menggunakan JavaScript yang telah disamarkan (obfuscated) dan juga didistribusikan melalui proyek tes pemrograman yang telah ditanami kode berbahaya.

PollCat dapat mengumpulkan informasi mengenai sistem korban dan memindai direktori. Malware tersebut juga melakukan komunikasi dengan server yang dikendalikan penyerang untuk menerima instruksi.

Dalam skenario serangannya, korban diminta memasukkan kode sekali pakai (one-time password/OTP) yang diberikan oleh perekrut palsu untuk mengakses tes. Mekanisme tersebut menjadi bagian dari rekayasa sosial untuk membuat proses seleksi pekerjaan terlihat semakin meyakinkan.

Namun, Kaspersky menemukan bahwa aktivitas PollCat dapat dimulai ketika aplikasi tes sedang dimuat. Dengan demikian, proses malware tidak semata-mata bergantung pada keberhasilan korban memasukkan kode akses.

Pengembang Jadi Sasaran Bernilai Tinggi

Omar Amin, pakar keamanan Kaspersky GReAT, mengatakan perubahan dari malware tradisional yang dikompilasi ke ancaman berbasis JavaScript menunjukkan perubahan taktik Mirage Kitten.

Pengembang perangkat lunak menjadi sasaran menarik karena perangkat yang mereka gunakan biasanya memiliki hak akses tinggi terhadap jaringan, repositori kode, dan berbagai sistem internal perusahaan.

Kaspersky menyarankan organisasi memperkuat pemantauan perangkat pengembang serta menggunakan perlindungan keamanan yang mampu mendeteksi aktivitas mencurigakan. Perusahaan juga menekankan pentingnya threat intelligence untuk membantu mengidentifikasi dan mencegah serangan.

Bagi pencari kerja di bidang teknologi, kampanye ini menunjukkan bahwa proses rekrutmen digital juga dapat dimanfaatkan sebagai sarana penyebaran malware. Karena itu, proyek coding challenge dari perekrut yang tidak terverifikasi perlu diperlakukan dengan hati-hati, terutama jika kandidat diminta menjalankan kode atau memasang dependensi dari sumber yang tidak dikenal.

 

Cek Berita dan Artikel yang lain di Harian Jogja, dan edisi cetak versi elektronik kami hadir di Epaper Harian Jogja.