Node Rabbit e PollCat
C’è qualcosa di particolarmente inquietante nelle ultime campagne di cyber-spionaggio: l’attacco non arriva necessariamente da un allegato sospetto, da un sito palesemente contraffatto o da un programma pirata. Può arrivare sotto forma di un’offerta di lavoro perfettamente credibile.
È questo il meccanismo utilizzato nella nuova campagna analizzata da Kaspersky, nella quale sono stati individuati due malware precedentemente non documentati: NodeRabbit e PollCat. Entrambi sono Remote Access Trojan, cioè strumenti capaci di trasformare un computer compromesso in una macchina controllabile a distanza dall’attaccante. La particolarità è che sono stati sviluppati utilizzando Node.js e JavaScript, con capacità multipiattaforma per Windows, Linux e macOS.
La scoperta è stata pubblicata il 1° settembre 2026 e riguarda attività attribuite con elevata confidenza a Mirage Kitten, gruppo di cyber-spionaggio noto anche nell’ambito delle campagne contro organizzazioni del Medio Oriente e dell’Africa. Gli obiettivi osservati appartengono soprattutto ai settori aviazione, aerospazio e FinTech, con vittime individuate in Egitto, Etiopia e Afghanistan.
Il pericolo, tuttavia, non riguarda soltanto quei Paesi. Il vero elemento da comprendere è il metodo. Un attacco costruito intorno a un falso recruiter, a un test tecnico e a un progetto software apparentemente innocuo può essere facilmente adattato ad altri settori e altre aree geografiche.
Il volto più umano dell’attacco
Immaginiamo la scena.
Un professionista riceve su LinkedIn un messaggio da quello che sembra essere un recruiter di una grande azienda tecnologica. Il profilo appare credibile, l’offerta di lavoro è interessante e la posizione è perfettamente coerente con il curriculum della vittima.
Dopo il primo contatto arriva il passaggio decisivo: il candidato deve svolgere un technical assessment, un test di programmazione da completare entro un determinato periodo.
Il file da scaricare non si presenta come un malware. È un vero progetto software. Contiene codice, documentazione, un’interfaccia e persino istruzioni operative.
Ed è proprio qui che l’attacco diventa estremamente raffinato.
Nel caso analizzato da Kaspersky, il progetto veniva distribuito attraverso infrastrutture cloud legittime. Il candidato era inoltre sottoposto a una pressione psicologica: il test doveva essere completato rapidamente e, in uno degli scenari osservati, il materiale indicava persino un limite temporale e l’utilizzo di un codice OTP.
La vittima non pensa quindi di “installare un malware”.
Pensa di fare un colloquio di lavoro.
NodeRabbit: il primo dei due nuovi RAT
NodeRabbit è un Remote Access Trojan scritto in Node.js e progettato per funzionare su Windows, Linux e macOS.
Secondo Kaspersky, rappresenta una novità importante per Mirage Kitten, che in precedenza aveva utilizzato prevalentemente malware nativi sviluppati in C, C++ e Go. L’utilizzo di Node.js permette invece agli attaccanti di disporre di una base tecnologica più facilmente adattabile a sistemi operativi differenti.
Il malware può raccogliere informazioni sul computer, individuare processi attivi, leggere e modificare file, eseguire comandi shell e raccogliere informazioni sulla configurazione di rete.
Su Windows, una delle varianti osservate utilizza una falsa identità legata a Microsoft Edge Update, mentre un’altra si maschera come componente dell’Intel Driver & Support Assistant. In un’altra variante vengono sfruttati anche meccanismi legati a VS Code e ai repository Git per mantenere la persistenza.
Questa caratteristica è particolarmente importante per gli amministratori di sistema.
Un malware che si presenta come un normale componente di aggiornamento può essere molto più difficile da individuare rispetto a un eseguibile con un nome palesemente sospetto.
PollCat: il secondo malware
PollCat segue una strada simile ma tecnicamente differente.
È un RAT scritto in JavaScript offuscato e viene inserito all’interno di un altro progetto di programmazione apparentemente destinato a un’attività di coding.
La vittima viene invitata a eseguire normalmente il progetto. Il problema è che il componente malevolo può avviarsi prima ancora che l’utente abbia completato l’autenticazione prevista dall’applicazione. Kaspersky ha osservato che PollCat può iniziare la propria comunicazione con l’infrastruttura di comando e controllo mentre il progetto è ancora in fase di caricamento.
Su Windows, PollCat può inoltre creare una persistenza attraverso una Scheduled Task, con un nome apparentemente riconducibile alla sincronizzazione di rete.
Il RAT dispone di funzioni per l’esecuzione di comandi, gestione dei file, enumerazione dei processi e delle unità, caricamento di DLL, esecuzione di JavaScript, trasferimento di file e raccolta di informazioni sul sistema.
Ancora più significativo è il fatto che PollCat effettui controlli alla ricerca di cartelle associate a numerosi prodotti di sicurezza, compresi Microsoft, CrowdStrike, SentinelOne, Sophos, ESET, Kaspersky, Bitdefender e altri vendor. Questo comportamento può aiutare l’attaccante a comprendere quali difese siano presenti sulla macchina compromessa.
Perché sono così pericolosi
Il problema non è semplicemente “avere un virus”.
Un RAT cambia completamente la natura dell’incidente.
Quando un computer viene compromesso da un malware di questo tipo, l’attaccante può potenzialmente trasformarlo in un punto di osservazione all’interno dell’organizzazione.
Può raccogliere informazioni sull’host, osservare processi e applicazioni, manipolare file, eseguire codice e utilizzare le informazioni ottenute per preparare ulteriori attività.
Nel caso di NodeRabbit, Kaspersky ha documentato anche meccanismi di persistenza attraverso chiavi Run, Scheduled Task, directory dell’utente e, nelle varianti più evolute, meccanismi collegati all’ambiente di sviluppo.
Questo è un aspetto particolarmente importante negli ambienti aziendali.
Il PC di uno sviluppatore può infatti contenere repository Git, credenziali, token, configurazioni cloud, certificati, file di progetto e accessi a sistemi interni. Un endpoint apparentemente “normale” può quindi diventare una porta verso infrastrutture molto più importanti.
Il vero bersaglio non è sempre Windows
NodeRabbit e PollCat funzionano su Windows, Linux e macOS.
Questo significa che la tradizionale idea secondo cui “il malware riguarda soprattutto Windows” non è più sufficiente.
Il mondo dello sviluppo software ha creato una superficie d’attacco molto più ampia.
Node.js, npm, Git, Visual Studio Code, repository, pacchetti open source e ambienti cloud sono strumenti quotidiani per milioni di professionisti. Se un progetto apparentemente legittimo contiene un componente malevolo, l’utente stesso può diventare inconsapevolmente il meccanismo di esecuzione.
È una forma di supply-chain attack applicata al rapporto di fiducia.
Come proteggere un PC Windows 10 o Windows 11
La prima difesa è molto meno tecnologica di quanto si possa pensare: non eseguire automaticamente codice ricevuto durante un processo di recruiting.
Un progetto di programmazione proveniente da LinkedIn, email, Teams o da un servizio cloud non deve essere considerato attendibile semplicemente perché il mittente sembra professionale.
Un archivio ZIP contenente un progetto Node.js merita particolare attenzione se il candidato viene invitato a eseguire comandi come npm install, npm i, node index.js o script PowerShell senza avere prima verificato il contenuto.
In un’organizzazione, inoltre, l’installazione e l’esecuzione di software dovrebbero essere governate da policy di sicurezza, App Control, Microsoft Defender e sistemi di gestione centralizzata.
Windows 11 dispone di diversi livelli di protezione hardware e software che devono essere mantenuti attivi. La strategia moderna non consiste soltanto nell’avere un antivirus, ma nel combinare Defender, SmartScreen, controllo delle applicazioni, aggiornamenti, isolamento, identità protette e gestione degli endpoint.
La procedura sequenziale di controllo
Quando si sospetta che un PC Windows possa essere stato coinvolto in una campagna simile, la prima operazione consiste nel disconnettere il dispositivo dalla rete aziendale, senza spegnerlo immediatamente se è necessario acquisire informazioni utili all’analisi.
La seconda operazione consiste nel verificare se siano presenti attività anomale in Task Manager, soprattutto processi Node.js, wscript.exe, cscript.exe, powershell.exe, cmd.exe o eseguibili provenienti da directory insolite.
La terza operazione consiste nel controllare le attività pianificate tramite Utilità di pianificazione, prestando particolare attenzione alle attività create recentemente o con nomi che simulano aggiornamenti, servizi Microsoft o componenti Intel.
La quarta operazione consiste nel controllare le chiavi di avvio automatico dell’utente e del sistema, in particolare le aree Run e RunOnce.
La quinta operazione consiste nell’eseguire una scansione Microsoft Defender completa. Se esiste un sospetto concreto di persistenza, è preferibile utilizzare anche Microsoft Defender Offline, che permette di eseguire la scansione al di fuori del normale ambiente Windows.
La sesta operazione consiste nell’aggiornare le definizioni di Defender e assicurarsi che il sistema operativo disponga delle ultime patch disponibili.
La settima operazione consiste nel verificare gli eventi di sicurezza, Defender, PowerShell e Task Scheduler tramite Visualizzatore eventi e, negli ambienti aziendali, correlare gli eventi con Microsoft Defender XDR e Intune.
L’ottava operazione consiste nel verificare eventuali accessi anomali agli account utilizzati sulla macchina. Se il PC era utilizzato per attività amministrative, sviluppo software o accesso a risorse aziendali, le credenziali potenzialmente esposte devono essere considerate compromesse e valutate per una rotazione.
La nona operazione consiste nel controllare repository Git, configurazioni applicative, file .env, token, chiavi SSH e credenziali eventualmente presenti sul dispositivo.
La decima operazione, se l’infezione è confermata, consiste nel non limitarsi a cancellare il file sospetto. Un RAT persistente può aver modificato il sistema e lasciato ulteriori componenti. In un ambiente aziendale è spesso più sicuro isolare l’endpoint, acquisire gli elementi necessari all’analisi e procedere al ripristino controllato o alla reinstallazione secondo le procedure di incident response.
Controllare Node.js, npm e i progetti software
Per gli sviluppatori esiste una precauzione fondamentale.
Un progetto ricevuto da un recruiter non dovrebbe essere eseguito direttamente sul computer di produzione o sulla workstation principale.
È preferibile utilizzare una macchina virtuale o un ambiente isolato, senza accesso diretto a repository aziendali, credenziali, VPN, certificati e dati personali.
Prima di eseguire npm install, è opportuno esaminare package.json, package-lock.json, node_modules, gli script definiti nella sezione scripts e la provenienza dei pacchetti.
Nel caso di NodeRabbit, il problema era ancora più subdolo perché i componenti malevoli erano già inclusi nel progetto e il codice apparentemente innocuo poteva provocare l’avvio dell’impianto.
Il ruolo di Intune e del Patch Management
In un’azienda non basta proteggere il singolo computer.
La sicurezza deve essere applicata a livello di flotta.
Con Microsoft Intune è possibile verificare la conformità dei dispositivi, distribuire configurazioni di sicurezza, controllare applicazioni, gestire Windows Update e monitorare gli endpoint.
Questo diventa fondamentale perché un dispositivo non aggiornato rappresenta un punto debole aggiuntivo. Il patch management deve quindi essere considerato parte integrante della difesa contro il malware.
Un ambiente nel quale gli aggiornamenti Windows vengono bloccati, rimandati indefinitamente o distribuiti in modo non uniforme aumenta la superficie di attacco. La gestione centralizzata degli aggiornamenti permette invece di individuare rapidamente dispositivi fuori compliance e intervenire prima che una vulnerabilità venga sfruttata.
Cosa fare se Defender risulta disabilitato
Uno dei segnali più importanti da verificare è l’eventuale modifica delle protezioni di sicurezza.
Se Microsoft Defender risulta improvvisamente disabilitato, non bisogna semplicemente riattivarlo e considerare risolto il problema.
La disattivazione può essere il sintomo di una compromissione.
Su un dispositivo Windows amministrato è possibile verificare lo stato di Defender tramite PowerShell:
Get-MpComputerStatusÈ inoltre possibile verificare i servizi interessati:
Get-Service WinDefendSe il sistema appartiene a un’organizzazione gestita tramite Intune, è necessario verificare anche le policy Endpoint Security e le eventuali configurazioni applicate centralmente.
Il ripristino delle protezioni deve essere accompagnato dalla ricerca della causa che le ha modificate.
Windows Update non è soltanto una questione di nuove funzionalità
Questa vicenda dimostra ancora una volta perché gli aggiornamenti di sicurezza non dovrebbero essere considerati un elemento secondario.
Un PC moderno deve essere aggiornato non soltanto per ottenere nuove funzioni, ma per ridurre la superficie di attacco.
Quando Windows Update presenta problemi, è quindi necessario intervenire rapidamente.
Una procedura di troubleshooting può comprendere la verifica dei servizi Windows Update, la sincronizzazione del dispositivo con Intune, il controllo dello spazio disponibile e, nei casi appropriati, il reset dei componenti Windows Update.
Se il problema riguarda un dispositivo aziendale, è preferibile evitare interventi manuali non documentati e verificare prima policy, gruppi di assegnazione e Windows Update for Business.
Una particolare attenzione agli strumenti di sviluppo
NodeRabbit e PollCat introducono un messaggio importante per gli amministratori di sistema.
La sicurezza di una workstation di sviluppo non può essere trattata come quella di un normale PC da ufficio.
Un developer workstation può contenere:
codice sorgente, repository Git, token, credenziali cloud, chiavi SSH, certificati, configurazioni CI/CD e accessi privilegiati.
Per questo motivo, l’esecuzione di codice proveniente dall’esterno dovrebbe avvenire secondo un modello di Zero Trust.
Non deve essere il nome del file a stabilire se un programma è sicuro.
Deve essere il contesto a determinare il livello di fiducia.
Gli indicatori da osservare
Nel caso NodeRabbit, alcuni elementi tecnici descritti da Kaspersky sono particolarmente utili per attività di threat hunting.
Tra questi compaiono directory e meccanismi di persistenza associati a falsi aggiornamenti Edge o Intel, attività pianificate, esecuzione di Node.js in contesti insoliti e comunicazioni verso infrastrutture C2 ospitate anche su servizi cloud.
Per questo motivo non è consigliabile basare il rilevamento esclusivamente su un singolo hash.
Il malware può essere ricompilato, modificato o consegnato attraverso un archivio differente.
È molto più efficace osservare il comportamento.
Un node.exe che parte automaticamente all’accesso dell’utente, una Scheduled Task apparentemente legittima che lancia uno script JavaScript da %APPDATA%, oppure un processo Node.js che effettua connessioni HTTPS verso infrastrutture insolite sono segnali che meritano un’analisi.
Perché l’utente rimane la prima linea di difesa
La tecnologia può bloccare moltissimo, ma non tutto.
Un utente che crede di essere davanti a un recruiter, a un cliente o a un responsabile IT può essere indotto a fare esattamente ciò che l’attaccante desidera.
La formazione quindi non è un accessorio.
È una componente della sicurezza.
Un professionista IT dovrebbe sapere che un progetto software ricevuto durante un colloquio non è automaticamente affidabile, esattamente come un allegato ricevuto via email non diventa sicuro perché contiene un documento dall’aspetto professionale.
La lezione per aziende e amministratori di sistema
NodeRabbit e PollCat rappresentano qualcosa di più di due nuovi malware.
Rappresentano l’evoluzione del concetto di attacco.
L’aggressore non cerca necessariamente di sfondare la porta.
A volte chiede semplicemente alla vittima di aprirla.
Nel caso analizzato da Kaspersky, il falso recruiter crea fiducia, il test tecnico crea una motivazione, il limite temporale crea urgenza e il progetto software crea l’ambiente perfetto per l’esecuzione.
Quando il candidato lancia il progetto, il confine tra software legittimo e malware praticamente scompare.
È questa la parte più pericolosa.
Conclusione
La scoperta di NodeRabbit e PollCat dimostra quanto velocemente il malware stia cambiando pelle.
Il codice malevolo può nascondersi dentro un progetto di sviluppo, utilizzare tecnologie legittime come Node.js e JavaScript, sfruttare servizi cloud conosciuti e funzionare contemporaneamente su Windows, Linux e macOS.
La protezione efficace non può quindi dipendere da un solo antivirus.
Serve una strategia composta da aggiornamenti costanti, Microsoft Defender, controllo delle applicazioni, MFA, gestione degli endpoint, patch management, segmentazione della rete, backup, monitoraggio degli eventi e soprattutto formazione degli utenti.
E per chi gestisce Windows 10 e Windows 11 in azienda, la regola rimane semplice: un endpoint che non viene aggiornato, monitorato e controllato è un endpoint che prima o poi può diventare la porta d’ingresso di qualcun altro.
Le Fonti
- Kaspersky Securelist – analisi di NodeRabbit e PollCat
- Kaspersky – campagna Mirage Kitten contro aviation e FinTech
- Microsoft Security Blog – Counterfeit installers to system compromise
- Microsoft Security Blog – Impersonating IT support
- Proofpoint – analisi PackClient e TA4922
- ICT Officine Informatiche Roma – Novità di Windows 11 in termini di sicurezza
- ICT Officine Informatiche Roma – Rimozione malware persistente
- ICT Officine Informatiche Roma – Malware disabilita Defender
Articoli correlati presenti su OfficineInformaticheRoma.it
| Articolo correlato | URL |
|---|---|
| Novità di Windows 11 in termini di sicurezza | Articolo |
| Malware disabilita Defender | Articolo |
| Rimozione malware persistente | Articolo |
| Come rimuovere RegretLocker ransomware su Windows 10 | Articolo |
| Aggiornamenti di sicurezza non installati | Articolo |
| Aggiornamenti Windows 10/11 non si installano | Articolo |
| Aggiornamenti software non distribuiti correttamente | Articolo |
| Problemi e Soluzioni in Intune | Articolo |
| Security Update KB5077744 per Windows 11 | Articolo |
| Security Update KB5068861 per Windows 11 | Articolo |
| Windows 11 KB5094126 causa schermate blu e altri malfunzionamenti | Articolo |
| Novità su Secure Boot Windows 11 | Articolo |
| 7-Zip va aggiornato subito: falla critica scoperta in praticamente tutte le versioni | Articolo |
| Versioning: l’arma definitiva contro ransomware | Articolo |
| Windows 11 – Smart App Control: bug nella gestione delle app | Articolo |