▸▾Herleitung der Bewertung(2)
Wie der Wert zustande kommt
- Belegte ATT&CK-Technik zum Erstzugriff+6
- 1 zugeordnete(r) Akteur/Malware-Eintrag aus dem MITRE-Katalog+6
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Einschränkungen
- Keine CVE im Text erkannt — der Wert stuetzt sich nur auf Text- und Kontextsignale.
- Schmale Datenlage: der Wert beruht auf wenigen Einzelsignalen.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
Iranian Hackers Pose as Recruiters to Deliver Cross-Platform RATs Through Coding Tests
Die iranische Hackergruppe Nimbus Manticore verbreitet über gefälschte Stellenausschreibungen und Coding-Tests plattformübergreifende RATs, die Linux- und macOS-Systeme infizieren können. Betroffene sollten bei Rekrutierungsversuchen wachsam sein und unbekannte Software nicht installieren.
SecBoard-Einordnung
Diese Kampagne zielt auf Mitarbeiter ab, die möglicherweise sensible Unternehmensdaten verwalten. Die Kompromittierung von Workstations kann zu Datenexfiltration, Spionage oder dem Einrichten von Persistenz im Unternehmensnetzwerk führen.
Realistisch schlimmster Fall: Erfolgreiche Installation der RATs auf Mitarbeiter-Workstations, was zur vollständigen Kontrolle über die betroffenen Systeme und potenziell zur Kompromittierung von Unternehmensdaten oder zum lateralen Bewegen innerhalb des Netzwerks führen könnte.
Empfehlung: Mitarbeiter über die Risiken von Social Engineering durch gefälschte Rekrutierungsversuche aufklären und Richtlinien für die Installation von Software und die Durchführung von Coding-Tests festlegen. E-Mail-Filter und Endpoint Detection and Response (EDR)-Lösungen sollten auf verdächtige Aktivitäten überwacht werden.
Im erfassten Bestand
- ▸10. erfasste Meldung zu Lazarus Group innerhalb von 90 Tagen.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Betroffen
Individuen, die von der Hackergruppe Nimbus Manticore über gefälschte Rekrutierungskampagnen und Coding-Tests angesprochen werden. Insbesondere Benutzer von Linux- und macOS-Systemen.
Prüfen
3- ▸Überprüfen Sie, ob Ihre E-Mail-Filter verdächtige E-Mails im Zusammenhang mit Rekrutierung oder Coding-Tests blockieren oder kennzeichnen.
- ▸Validieren Sie, ob Ihre EDR-Lösungen die Installation unbekannter oder nicht autorisierter Software, insbesondere von Node.js- oder JavaScript-basierten ausführbaren Dateien, auf Linux- und macOS-Systemen erkennen und alarmieren können.
▸ 1 weitere▾ weniger
- ▸Führen Sie Awareness-Schulungen für Mitarbeiter durch, um sie für die Erkennung von Phishing- und Social-Engineering-Versuchen im Kontext von Rekrutierung zu sensibilisieren.
Offene Punkte
5▸ anzeigen▾ ausblenden
- ▸Spezifische Namen der verwendeten RATs sind nicht im Artikel genannt.
- ▸Details zu den genutzten C2-Infrastrukturen oder Kommunikationsprotokollen sind nicht spezifiziert.
- ▸Konkrete Indikatoren für Kompromittierung (IOCs) wie Hashes oder IP-Adressen fehlen.
- ▸Die genauen Methoden, wie die RATs Persistenz auf den Systemen etablieren, sind nicht detailliert beschrieben.
- ▸Die spezifischen Branchen oder Organisationstypen, die von Nimbus Manticore ins Visier genommen werden, sind nicht genannt.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Ja
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Unklar
- Detection / Logging prüfbar?Ja
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Fortinet extern erreichbar?
- Haben wir Cisco extern erreichbar?
- Können wir Initial Access detektieren?
- Können wir Execution detektieren?
Erwähnte Akteure & Werkzeuge
Abgleich mit dem MITRE-ATT&CK-Katalog
MITRE ATT&CK(5)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Die iranische Hackergruppe Nimbus Manticore verbreitet über gefälschte Stellenausschreibungen und Coding-Tests plattformübergreifende RATs“
„Diese RATs, entwickelt mit Node.js und JavaScript, können Linux- und macOS-Systeme infizieren.“
„plattformübergreifende RATs“
„plattformübergreifende RATs“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Kill-Chain-Phasen
Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.
Auskundschaften
0
Bewaffnung
0
Zustellung
1
Ausnutzung
1
Einnistung
0
Fernsteuerung
0
Zielhandlung
0
Quellen & Belege· 1 Quelle
Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
Akteursprofile
ATT&CK-Heatmap