แฮกเกอร์อิหร่านปลอมประกาศงานบน LinkedIn หลอก Dev ติดมัลแวร์ RAT

09 Oct 2026

รายงานจาก GBHackers เปิดเผยแคมเปญโจมตีที่เชื่อมโยงกับกลุ่มแฮกเกอร์อิหร่าน Mirage Kitten ซึ่งใช้ LinkedIn ปลอมตัวเป็นนายจ้าง หลอกนักพัฒนาซอฟต์แวร์ในอุตสาหกรรมการบินและ FinTech ในอียิปต์ เอธิโอเปีย และอัฟกานิสถาน ให้ดาวน์โหลดแบบทดสอบเขียนโค้ดที่แฝงมัลแวร์ RAT ได้แก่ NodeRabbit และ PollCat RAT ซึ่งรองรับ Windows, macOS และ Linux

กลลวงเริ่มจากแบบทดสอบสมัครงานปลอม

ผู้โจมตีส่งไฟล์ Front-Technical-Challenge.zip ซึ่งมีโปรเจกต์ TaskFlow ที่พัฒนาด้วย Express, React และ Vite พร้อมกำหนดเวลาให้ทำแบบทดสอบภายใน 3 ชั่วโมง เพื่อกดดันให้ผู้สมัครรีบลงมือ โดยกำชับไม่ให้แก้ไขไฟล์ server.js ทั้งที่ไฟล์ดังกล่าวซ่อนคำสั่งเรียกใช้แพ็กเกจอันตราย colorized_terminal เวอร์ชัน 2.1.0 ซึ่งจะเปิดใช้งานมัลแวร์ NodeRabbit ในเบื้องหลัง

NodeRabbit และ PollCat RAT ทำอะไรได้บ้าง?

NodeRabbit สามารถเก็บข้อมูลฮาร์ดแวร์ ระบบปฏิบัติการ และ MAC Address ตรวจสอบโปรเซส สั่งรันคำสั่ง Shell อ่านและเขียนไฟล์ รวมถึงรับสคริปต์จากเซิร์ฟเวอร์ควบคุม โดยใช้การเข้ารหัส AES-256-GCM ในการสื่อสาร

ขณะที่ Kaspersky ตรวจพบอีกแคมเปญที่ใช้แบบทดสอบ React ชื่อ RankChallenge-react เพื่อล่อให้เหยื่อติดตั้ง PollCat RAT ซึ่งนอกจากควบคุมเครื่องและรวบรวมข้อมูลแล้ว ยังสามารถลักลอบส่งไฟล์ออกจากเครื่อง ตรวจสอบไดรฟ์ และสร้างโปรเซสที่ซ่อนการทำงานได้อีกด้วย

วิธีป้องกันตัวสำหรับนักพัฒนา

ตรวจสอบตัวตนของผู้ว่าจ้างก่อนดาวน์โหลดไฟล์

ตรวจสอบโค้ดและแพ็กเกจที่แนบมากับโปรเจกต์ก่อนรัน

อย่าปล่อยให้การจำกัดเวลาทำให้ละเลยความปลอดภัย

ทดสอบโค้ดที่ไม่น่าเชื่อถือในสภาพแวดล้อมแยกจากเครื่องหลัก

กรณีนี้เป็นเครื่องเตือนใจว่า แม้ข้อเสนองานบน LinkedIn จะดูน่าเชื่อถือ แต่ก็อาจเป็นช่องทางแพร่กระจายมัลแวร์ได้ นักพัฒนาจึงควรตรวจสอบโค้ดทุกครั้งก่อนเรียกใช้งาน

ที่มา: gbhackers.com