Mirage Kitten cible l'aviation et la FinTech au Moyen-Orient et en Afrique avec NodeRabbit et PollCat

🔍 Contexte

Publié le 1er septembre 2026 par Kaspersky (Securelist), cet article de recherche documente la découverte de deux nouvelles familles de malwares attribuées à Mirage Kitten (également connu sous les noms UNC1549, Smoke Sandstorm, Nimbus Manticore), un groupe APT ciblant historiquement le Moyen-Orient et l’Afrique.

🎯 Vecteur d’accès initial

La campagne repose sur une technique de faux recruteur (recruiter persona) sur LinkedIn et d’autres plateformes d’emploi. Les cibles reçoivent un lien vers une archive de défi de codage trojanisée hébergée sur Amazon S3, présentée comme une évaluation technique pour un poste d’ingénieur. L’archive contient un projet Node.js légitime (TaskFlow ou RankChallenge-react) dont un fichier source a été modifié pour importer un package npm malveillant (colorized_terminal ou pretty-log, version 2.1.0) bundlé directement dans le répertoire node_modules.

🐇 NodeRabbit RAT — Trois variantes

NodeRabbit est un RAT multiplateforme (Windows, Linux, macOS) écrit en Node.js. Trois variantes ont été identifiées :

• Variante 1 (Afghanistan) : lancée via colorized_terminal, C2 sur Azure (plugplay, Rgbteller, Wslwebui), chiffrement AES-256-GCM, 11 commandes, persistance masquée en Microsoft Edge Update.
• Variante 2 (Égypte) : lancée via pretty-log, anti-analyse (mémoire, CPU, uptime, noms d’utilisateur suspects), support proxy NTLM/Negotiate via curl.exe, port TCP dérivé de l’identifiant agent, persistance masquée en Intel DSA.
• Variante 3 (Éthiopie) : lancée via pretty-log, 23 commandes dont outlook:emails, persist:vscode, persist:project:inject (Git hooks), C2 mixte Azure/Cloudflare, support WSL, fausse extension VS Code nommée GitHub Copilot Helper.

🐱 PollCat RAT

PollCat est un RAT multiplateforme écrit en JavaScript obfusqué, distribué via un faux défi React (RankChallenge-react). Il démarre indépendamment du processus d’authentification OTP. Il communique avec ses C2 (sahi-finance.com, GamebarAppinformation.azurewebsites.net, GamebarApp.azurewebsites.net) via des endpoints /beacon, /gate/hello, /gate/fetch, /gate/submit. Il déclare 22 commandes dont EVAL_JS, SYSTEM_CHECK, RUNDLL, CHUNKED_DOWNLOAD. La réponse de handshake attendue est un HTTP 400 contenant un socketId.

🏗️ Infrastructure

L’infrastructure C2 repose principalement sur Azure Websites (AS 8075, MarkMonitor) et des domaines Cloudflare (AS 13335, NameCheap). Les acteurs ont parfois intégré le nom de l’organisation ciblée dans le sous-domaine Azure. Des domaines additionnels enregistrés entre mai et juillet 2026 ont été identifiés via des patterns d’infrastructure.

🎯 Victimologie

Victimes confirmées dans les secteurs FinTech et aviation/aérospatial en Égypte, Éthiopie et Afghanistan. Des soumissions d’archives malveillantes à des scanners en ligne ont été détectées depuis l’Inde, la Turquie, Israël, l’Irak, l’Allemagne et l’Irlande.

🔗 Attribution

L’attribution à Mirage Kitten repose sur des similarités structurelles avec le backdoor natif Retrograde/MiniFast : handshake C2 identique (HTTP 400 comme succès, socketId), endpoints similaires, timing de beacon identique (120 000 ms / 5 000 ms jitter), commandes partagées (dont REQUEST_ELEVATION 0xB0 et PERSIST 0xB1), et délégation proxy NTLM via curl.exe.

📄 Nature de l’article

Il s’agit d’une publication de recherche technique de Kaspersky GReAT visant à documenter une nouvelle campagne APT, ses TTPs, son infrastructure et ses IoCs pour permettre la détection et le tracking par la communauté CTI.

🧠 TTPs et IOCs détectés

Acteurs de menace

• Mirage Kitten (state-sponsored) —

TTP

• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1195.002 — Supply Chain Compromise: Compromise Software Supply Chain (Initial Access)
• T1059.007 — Command and Scripting Interpreter: JavaScript (Execution)
• T1547.001 — Boot or Logon Autostart Execution: Registry Run Keys / Startup Folder (Persistence)
• T1053.005 — Scheduled Task/Job: Scheduled Task (Persistence)
• T1053.003 — Scheduled Task/Job: Cron (Persistence)
• T1543.001 — Create or Modify System Process: Launch Agent (Persistence)
• T1036.005 — Masquerading: Match Legitimate Name or Location (Defense Evasion)
• T1027 — Obfuscated Files or Information (Defense Evasion)
• T1497 — Virtualization/Sandbox Evasion (Defense Evasion)
• T1071.001 — Application Layer Protocol: Web Protocols (Command and Control)
• T1573.001 — Encrypted Channel: Symmetric Cryptography (Command and Control)
• T1090 — Proxy (Command and Control)
• T1105 — Ingress Tool Transfer (Command and Control)
• T1083 — File and Directory Discovery (Discovery)
• T1057 — Process Discovery (Discovery)
• T1082 — System Information Discovery (Discovery)
• T1016 — System Network Configuration Discovery (Discovery)
• T1518.001 — Software Discovery: Security Software Discovery (Discovery)
• T1114.001 — Email Collection: Local Email Collection (Collection)
• T1005 — Data from Local System (Collection)
• T1608.001 — Stage Capabilities: Upload Malware (Resource Development)
• T1586.001 — Compromise Accounts: Social Media Accounts (Resource Development)
• T1588.002 — Obtain Capabilities: Tool (Resource Development)

IOC

• Domaines : oracle-challenge.s3.us-east-1.amazonaws.com — VT · URLhaus · ThreatFox
• Domaines : naturalapplication.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : retaildemo.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : tubitak.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : rgbteller.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : wslwebui.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : plugplay.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : crossdwm.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : wdisystem.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : wslmenus.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : dnshnsdev.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : hpjumpsrv.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : storview.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : healthcomfsdpower.com — VT · URLhaus · ThreatFox
• Domaines : visitfinancedentists.com — VT · URLhaus · ThreatFox
• Domaines : kyrasey-f8hfexa5cqamh7fk.westeurope-01.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : greenyjsgfd.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : helptellerbls.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : timedrv.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : userwellgtfs.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : hecowime-aqdphyd4bbdef6es.westeurope-01.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : msmanagementgrp.com — VT · URLhaus · ThreatFox
• Domaines : msmanagementgrpmedia.com — VT · URLhaus · ThreatFox
• Domaines : lifespotify.com — VT · URLhaus · ThreatFox
• Domaines : gamebarapp.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : gamebarappinformation.azurewebsites.net — VT · URLhaus · ThreatFox
• Domaines : sahi-finance.com — VT · URLhaus · ThreatFox
• Domaines : healthful-hub.com — VT · URLhaus · ThreatFox
• Domaines : neumedicahealthcare.com — VT · URLhaus · ThreatFox
• Domaines : optimumhealthcredit.com — VT · URLhaus · ThreatFox
• Domaines : healthfullyrecipes.com — VT · URLhaus · ThreatFox
• Domaines : refreshhealthandwellness.com — VT · URLhaus · ThreatFox
• Domaines : healthvitalitycare.com — VT · URLhaus · ThreatFox
• Domaines : aceofspadesmanagement.com — VT · URLhaus · ThreatFox
• Domaines : glmediaagency.com — VT · URLhaus · ThreatFox
• Domaines : digimediaskill.com — VT · URLhaus · ThreatFox
• Domaines : healthyweightplan.com — VT · URLhaus · ThreatFox
• Domaines : mens-health-online.com — VT · URLhaus · ThreatFox
• URLs : https://oracle-challenge.s3.us-east-1.amazonaws.com/Front-Technical-Challenge.zip — URLhaus
• URLs : https://lifespotify.com/api/users/b879746e-fed9-4211-a6da-4d8223681267/otp/validate — URLhaus
• MD5 : 1EA83E4E4592B01E4ACAB63EB867BEE5 — VT · MalwareBazaar
• MD5 : CBAAF0900A13F28E380F49ADECEC932C — VT · MalwareBazaar
• MD5 : 366515822D5AC1CC500711EF57A2E32E — VT · MalwareBazaar
• MD5 : CF449F1992C2819E62AC44A0B06AC2E7 — VT · MalwareBazaar
• MD5 : E95A4366686E3F786EA3C056FAB5B0DA — VT · MalwareBazaar
• MD5 : DE5AF16A3757EF700B01DC34D67079AE — VT · MalwareBazaar
• MD5 : BE086789568441D0D7E4679AEE51F566 — VT · MalwareBazaar
• MD5 : E259C5EDF158AAC4CFE14F77DDD0B196 — VT · MalwareBazaar
• MD5 : 291AC3ABE73C5158E59A437B75D5F0AA — VT · MalwareBazaar
• MD5 : 0962F56D7EC69F4F2A0162DCBE22116B — VT · MalwareBazaar
• MD5 : 795E053A990A1569FFDCB57F48F6D085 — VT · MalwareBazaar
• MD5 : 810F8E3B88EB05F710C09552941D6F56 — VT · MalwareBazaar
• Fichiers : Front-Technical-Challenge.zip
• Fichiers : FrontEnd-Task.zip
• Fichiers : Task-FullStack.zip
• Fichiers : fullstack-1536.zip
• Fichiers : webapp76592.zip
• Fichiers : webapp76531.zip
• Fichiers : challenges-17831.zip
• Fichiers : challenges-17832.zip
• Fichiers : Project-1802.zip
• Fichiers : Case-34234.zip
• Fichiers : RankChallenge-react-6uJSX3-main.zip
• Fichiers : colorized_terminal
• Fichiers : pretty-log
• Fichiers : server.js
• Fichiers : requireObjects.js
• Fichiers : index.js
• Chemins : node_modules/.cache/.320697f1/index.js
• Chemins : %APPDATA%\Microsoft\EdgeUpdate\msedge_update.js
• Chemins : %LOCALAPPDATA%\Intel\DSA\idriver_support.js
• Chemins : ~/.config/microsoft-edge-update/msedge_update.js
• Chemins : ~/.config/intel-dsa/idriver_support.js
• Chemins : ~/Library/Application Support/Intel DSA/idriver_support.js
• Chemins : ~/Library/LaunchAgents/com.microsoft.edgeupdate.plist
• Chemins : ~/Library/LaunchAgents/com.intel.dsa.helper
• Chemins : %APPDATA%\Microsoft\Network\requireObject.js
• Chemins : ~/.node_packages
• Chemins : ~/Library/LaunchAgents/com.harsh.requireobject.plist
• Chemins : .git/hooks/post-merge
• Chemins : .git/hooks/post-checkout
• Chemins : .sv.json

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 1 septembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

• NodeRabbit (rat)
• PollCat (rat)
• Retrograde (backdoor)
• MiniFast (backdoor)

🟢 Indice de vérification factuelle : 80/100 (haute)

• ✅ securelist.com — source reconnue (liste interne) (20pts)
• ✅ 37350 chars — texte complet (fulltext extrait) (15pts)
• ✅ 82 IOCs dont des hashes (15pts)
• ⬜ 0/5 IOCs confirmés externellement (0pts)
• ✅ 24 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ✅ acteur(s) identifié(s) : Mirage Kitten (5pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://securelist.com/mirage-kitten-new-backdoors-noderabbit-pollcat/121244/