イラン系ハッカー集団、エンジニア採用試験を装い複数OS対応の不正プログラムを配布

要点

• イランのサイバー攻撃グループ「Nimbus Manticore」が、採用試験の課題コードを悪用してマルウェアを感染させる攻撃を行っていることが明らかになった。

• 新たに確認された「NodeRabbit」と「PollCat」は、WindowsだけでなくLinuxやmacOSにも感染可能なクロスプラットフォーム対応の遠隔操作ツールである。

• 攻撃者は大手テック企業の人事担当者を装い、フロントエンドの修正課題と称して悪意あるコードを含むサーバー側プログラムを実行させていた。

• カスペルスキーの分析により、正規のnpmレジストリを介さず配布ファイル内に直接悪質なパッケージを同梱する巧妙な手口や、詳細な遠隔操作機能が判明した。

• ロシアのセキュリティ企業カスペルスキーは2026年9月1日、イランの脅威グループ「Nimbus Manticore」が新たなマルウェアを展開しているとする調査結果を公表した。同グループは求職中のソフトウェアエンジニアに接触し、技術試験用のプログラムを介して複数の基本ソフト（OS）に対応する遠隔操作型トロイの木馬（RAT：外部から不正に遠隔操作を行うマルウェア）を侵入させているという。従来のWindowsに偏った攻撃から、開発者が多く利用するmacOSやLinuxへと標的を拡大させている実態が浮き彫りとなった。

採用試験を偽装した標的型攻撃の手口

カスペルスキーの研究員オマール・アミン氏によると、攻撃者はLinkedInなどの求人プラットフォームを利用し、大手テック企業の採用担当者になりすましてエンジニアに直接アプローチしていた。提示されるのは「Taskflow」と呼ばれるプロジェクト管理ツールのソースコードが入ったZIPファイル（Front-Technical-Challenge.zip）で、アマゾンウェブサービス（AWS）上にホストされていた。

候補者には「3時間以内に、AIツールを使わずにフロントエンドの不具合を見つけて修正する」という技術課題が課される。その際、指示書には「サーバー側のコード（server.js）は正常に動作するため修正しないように」と明記されていた。しかし実際には、この server.js こそが攻撃の起点となっていた。

server.js の先頭行では、colorized_terminal（バージョン2.1.0）という不正なnpmパッケージが読み込まれる仕組みになっていた。攻撃者はこのパッケージを公式のnpmレジストリには公開せず、配布アーカイブ内の node_modules フォルダに直接紛れ込ませていた。開発者が課題を実行するためにサーバーを起動すると、隠しディレクトリ内のスクリプトが呼び出され、独立したバックグラウンドプロセスとして不正プログラムが密かに実行される設計となっていた。

新マルウェア「NodeRabbit」の機能と指令サーバー

今回のアフガニスタンで検出された事例で侵入が確認されたのは、「NodeRabbit」と呼ばれるNode.js製のRATである。このマルウェアは、マイクロソフトのクラウドサービス（Azure）上でホストされた指令サーバー（C2サーバー：感染端末を遠隔制御する外部サーバー）と通信を行う。通信には以下の3つの専用APIエンドポイントが使い分けられていた。

• /api/rabbit/checkin：端末情報およびエージェントの登録
• /api/rabbit/task：実行すべきコマンドの取得
• /api/rabbit/result：実行結果の送信

NodeRabbitには11種類の遠隔操作コマンドが実装されている。端末のハードウェア情報やネットワーク構成（MACアドレス、IPアドレス、DNS設定など）の収集、実行中プロセスの取得、任意のシェルコマンド実行、ディレクトリの探索や作成、ファイルの分割読み込みや書き込み、ファイルやディレクトリの再帰的削除、通信間隔の変更など、システムを完全に掌握するための機能が網羅されていた。また、Base64でエンコードされたスクリプトをランダムな名称の一時ファイル（.tmp）として書き出して実行し、即座に削除して痕跡を隠蔽する機能も備わっていた。

複数地域での変種とOS別の潜伏工作

カスペルスキーの調査では、NodeRabbitの派生種がエジプトやエチオピアの端末からも確認された。確認された変種には、悪用するnpmパッケージを pretty-log（バージョン2.1.0）に変更したものや、解析環境を検知すると自動的に動作を停止する機能、企業プロキシへの対応を追加したものが含まれていた。さらに、別の変種では通信先のエンドポイントを /sdk/v2/ready、/sdk/v2/config、/sdk/v2/events に変更して検知を逃れようとしていた。

感染した端末での永続化（システムの再起動後もマルウェアが自動実行され続ける仕組み）は、OSごとに異なる手法が使い分けられていた。WindowsではレジストリのRunキーへの登録、Linuxでは定時実行機能（cron）への登録、macOSでは自動起動プログラム（Launch Agent）への登録が行われていた。これらは、Microsoft Edgeのブラウザ更新プログラムや、インテルのドライバ更新ツールなどを偽装して登録されていたという。

攻撃グループの背景とツールの進化

Nimbus Manticoreは、求職者を標的にすることから「Iranian Dream Job」の別名でも追跡されている。求人情報を囮にして被害者自身にマルウェアを実行させる手法は、北朝鮮系の攻撃集団「Lazarus Group」が長年用いてきた戦術としても知られる。

同グループは従来、C言語、C++、Go言語などで作成したWindows向けマルウェアを用い、DLLの読み込み順序を悪用する手法を中心に活動していた。しかし、難読化されたJavaScriptで書かれた「PollCat」や今回の「NodeRabbit」のように、Web開発で一般的な言語を採用したクロスプラットフォーム対応ツールへの移行を進めている。同グループはここ数か月間でも、Windows向けバックドア「NightLedger」、WebSocketを利用したトンネリングツール「BridgeHead」および「ArcBridge」、リバースSSHツールなど、攻撃ツールの開発と拡充を急速に進めていることが確認されている。