Comment supprimer NodeRabbit RAT du système d'exploitation

Quel type de malware est NodeRabbit ?

NodeRabbit est un cheval de Troie d'accès à distance (RAT) écrit en Node.js. Il permet aux attaquants d'exécuter secrètement des commandes, de gérer des fichiers, de collecter des informations sur l'appareil et le réseau, et de charger du code supplémentaire sur les ordinateurs infectés. Le malware est multiplateforme et fonctionne sous Windows, Linux et macOS.

Les chercheurs de Kaspersky ont découvert NodeRabbit en enquêtant sur des infections liées à Mirage Kitten, un groupe de cyberespionnage lié à l'Iran, également suivi sous les noms UNC1549, Smoke Sandstorm et Nimbus Manticore. Comme le résume PolySwarm, le groupe attire les développeurs de logiciels avec de fausses offres d'emploi et des tests de codage piégés.

Vue d'ensemble de NodeRabbit

Mirage Kitten a historiquement ciblé des organisations stratégiquement importantes, principalement au Moyen-Orient, en se concentrant sur l'aérospatiale, l'aviation et la défense. Dans cette campagne, les attaquants ont visé les secteurs de la fintech, de l'aviation et de l'aérospatiale au Moyen-Orient et en Afrique, notamment des cibles en Égypte, en Éthiopie et en Afghanistan.

Il convient de noter que NodeRabbit et son homologue PollCat sont les premiers malwares publiquement documentés du groupe conçus avec Node.js et JavaScript. Ce choix convient bien aux cibles : les développeurs ont déjà Node.js installé, donc le malware se fond dans leurs outils quotidiens.

Une fois en cours d'exécution, NodeRabbit se connecte à son serveur Command and Control (C2), hébergé sur Microsoft Azure. Chaque appareil infecté est identifié par son nom d'hôte, son nom d'utilisateur, la version de son système d'exploitation, son architecture et son adresse MAC.

Les requêtes que le malware envoie au serveur sont protégées par un chiffrement AES-256-GCM. Cela rend le trafic beaucoup plus difficile à inspecter pour les outils de sécurité et les administrateurs réseau.

Les fonctionnalités de NodeRabbit

Kaspersky a identifié trois versions de NodeRabbit. La première prenait en charge 11 commandes, qui permettaient aux opérateurs de recueillir des informations sur l'hôte et le réseau, de lister les processus en cours d'exécution, d'exécuter des commandes shell arbitraires et de manipuler des fichiers et des dossiers. Elle pouvait également modifier la fréquence à laquelle elle contacte le serveur et exécuter des scripts Node.js supplémentaires.

La troisième version a étendu l'ensemble de commandes à 23 commandes. Les nouveaux ajouts incluent le listage des lecteurs et volumes, le lancement et l'arrêt de processus, ainsi qu'une commande appelée agent:servers qui remplace les serveurs C2 actifs et enregistre la nouvelle configuration sur le disque. En d'autres termes, les attaquants peuvent déplacer les machines infectées vers une nouvelle infrastructure chaque fois que leurs anciens serveurs sont bloqués ou fermés.

De plus, cette version peut découvrir les adresses de comptes de messagerie Microsoft Outlook en examinant les fichiers de données OST et PST stockés sur l'ordinateur. Pour un groupe d'espionnage, c'est un moyen rapide de savoir quels comptes de messagerie professionnels la victime utilise.

Anti-analyse et prise en charge des réseaux d'entreprise

La deuxième version de NodeRabbit a été conçue en pensant aux réseaux d'entreprise. Avant de faire quoi que ce soit, elle vérifie si elle s'exécute à l'intérieur d'un sandbox ou sur la machine d'un chercheur, en recherchant des signes tels qu'une faible quantité de mémoire ou des noms d'utilisateur couramment utilisés par les analystes de malwares.

Si de tels signes sont détectés, le malware envoie des requêtes inoffensives à Google, Microsoft et Cloudflare, puis se ferme. Cela vise probablement à faire ressembler l'exécution à une activité réseau ordinaire plutôt qu'à quelque chose de suspect.

Cette variante sait également comment fonctionner avec les serveurs proxy d'entreprise. Elle lit les paramètres proxy à partir des variables d'environnement, achemine son trafic via HTTP CONNECT et prend en charge l'authentification proxy Basic, NTLM et Negotiate. Par conséquent, NodeRabbit peut atteindre ses opérateurs même depuis des réseaux où l'accès à Internet passe par un proxy d'entreprise.

Persistance via les outils de développement

La troisième version de NodeRabbit abuse des outils de développement pour rester sur le système. Elle crée une extension Visual Studio Code malveillante déguisée en GitHub Copilot Helper et réutilise un nom d'éditeur de confiance emprunté aux extensions déjà installées sur l'appareil. Elle tente également de désactiver la protection Workspace Trust de VS Code.

Une fois chargée, la fausse extension lance NodeRabbit en tant que processus Node.js séparé et détaché. En plus de cela, le malware injecte des lanceurs dans les hooks du dépôt Git, spécifiquement post-merge et post-checkout, de sorte que des actions courantes comme récupérer du code ou changer de branche le relancent.

Essentiellement, le flux de développement normal de la victime devient le déclencheur du malware. Supprimer uniquement le fichier principal de NodeRabbit peut ne pas suffire, car la fausse extension et les hooks Git modifiés peuvent le ramener.

Conclusion

NodeRabbit donne aux attaquants un contrôle à distance sur les ordinateurs infectés, leur permettant d'exécuter des commandes, de gérer des fichiers, de recueillir des informations et d'exécuter du code supplémentaire. Sa communication chiffrée, ses vérifications anti-analyse et sa persistance via VS Code et Git en font une menace d'espionnage sérieuse pour les développeurs et les entreprises pour lesquelles ils travaillent. Si NodeRabbit est présent sur votre appareil, il doit être supprimé immédiatement.

D'autres exemples de RAT sont SnakeBiteAgent, PackClient et E4del.

Comment NodeRabbit a-t-il infiltré mon ordinateur ?

NodeRabbit se propage par le biais de fausses offres d'emploi. Les attaquants se font passer pour des recruteurs sur LinkedIn et les plateformes de recherche d'emploi et approchent les ingénieurs logiciels avec des opportunités attrayantes. Dans le cadre du prétendu processus de recrutement, la victime reçoit une évaluation technique sous la forme d'un projet de codage téléchargeable.

L'un de ces appâts, Front-Technical-Challenge.zip, contenait une application web trojanisée appelée TaskFlow. La première ligne de son fichier server.js importait un paquet npm malveillant nommé colorized_terminal (version 2.1.0), qui lançait silencieusement NodeRabbit au démarrage du projet. Les variantes ultérieures ont été livrées de la même manière via un paquet appelé pretty-log.

Le paquet malveillant était intégré directement dans le dossier node_modules de l'archive au lieu d'être téléchargé depuis le registre npm public, ce qui l'aidait à échapper à la détection. Les attaquants fixaient également un délai de trois heures et disaient aux victimes de ne pas utiliser d'assistants IA, probablement pour qu'aucun outil IA n'examine le code et ne signale le paquet caché.

Plus généralement, les cybercriminels distribuent des RAT et d'autres malwares via des e-mails de phishing, des pièces jointes et des liens malveillants, de faux sites de téléchargement, des publicités malveillantes, des logiciels piratés et des cracks de logiciels.

Comment éviter l'installation de malwares ?

Soyez prudent avec les offres d'emploi non sollicitées, en particulier lorsqu'un « recruteur » vous demande de télécharger et d'exécuter un projet de codage dans un délai serré. Avant d'exécuter tout code inconnu, examinez ses dépendances (y compris tout ce qui est déjà intégré dans le dossier node_modules) et envisagez de le tester dans une machine virtuelle isolée plutôt que sur votre principal appareil de travail.

De plus, évitez d'ouvrir les pièces jointes et les liens dans les e-mails ou messages inattendus, téléchargez des logiciels uniquement depuis des sites officiels et éloignez-vous des programmes piratés et des cracks. Maintenez à jour votre système d'exploitation, vos applications et vos extensions, et utilisez un logiciel de sécurité réputé. Si vous pensez que votre ordinateur est déjà infecté, nous vous recommandons d'exécuter une analyse avec Combo Cleaner Antivirus pour Windows pour éliminer automatiquement les malwares infiltrés.

Suppression automatique et instantanée des maliciels :

La suppression manuelle des menaces peut être un processus long et compliqué qui nécessite des compétences informatiques avancées. Combo Cleaner est un outil professionnel de suppression automatique des maliciels qui est recommandé pour se débarrasser de ces derniers. Téléchargez-le en cliquant sur le bouton ci-dessous :

En téléchargeant n'importe quel logiciel listé sur ce site web vous acceptez notre Politique de Confidentialité et nos Conditions d’Utilisation. Pour utiliser le produit complet, vous devez acheter une licence pour Combo Cleaner. 7 jours d’essai limité gratuit disponible. Combo Cleaner est détenu et exploité par RCS LT, la société mère de PCRisk.

Menu rapide :

• Qu'est-ce que NodeRabbit ?
• ÉTAPE 1. Suppression manuelle du malware NodeRabbit.
• ÉTAPE 2. Vérifiez si votre ordinateur est propre.

Comment supprimer un malware manuellement ?

La suppression manuelle d'un malware est une tâche compliquée - il est généralement préférable de laisser les programmes antivirus ou anti-malware le faire automatiquement. Pour supprimer ce malware, nous recommandons d'utiliser Combo Cleaner Antivirus pour Windows.

Si vous souhaitez supprimer un malware manuellement, la première étape consiste à identifier le nom du malware que vous essayez de supprimer. Voici un exemple de programme suspect en cours d'exécution sur l'ordinateur d'un utilisateur :

Si vous avez vérifié la liste des programmes en cours d'exécution sur votre ordinateur, par exemple à l'aide du gestionnaire des tâches, et identifié un programme qui semble suspect, vous devez poursuivre avec ces étapes :

Téléchargez un programme appelé Autoruns. Ce programme affiche les applications à démarrage automatique, le Registre et les emplacements du système de fichiers :

Redémarrez votre ordinateur en Mode sans échec :

Utilisateurs de Windows XP et Windows 7 : Démarrez votre ordinateur en Mode sans échec. Cliquez sur Démarrer, cliquez sur Arrêter, cliquez sur Redémarrer, cliquez sur OK. Pendant le processus de démarrage de votre ordinateur, appuyez plusieurs fois sur la touche F8 de votre clavier jusqu'à ce que le menu Options avancées de Windows apparaisse, puis sélectionnez Mode sans échec avec prise en charge réseau dans la liste.

Vidéo montrant comment démarrer Windows 7 en « Mode sans échec avec prise en charge réseau » :

Utilisateurs de Windows 8 : Démarrez Windows 8 en Mode sans échec avec prise en charge réseau - Allez à l'écran de démarrage de Windows 8, tapez Avancé, dans les résultats de recherche sélectionnez Paramètres. Cliquez sur Options de démarrage avancées, dans la fenêtre « Paramètres généraux du PC » ouverte, sélectionnez Démarrage avancé.

Cliquez sur le bouton « Redémarrer maintenant ». Votre ordinateur va maintenant redémarrer dans le « menu Options de démarrage avancées ». Cliquez sur le bouton « Dépannage », puis cliquez sur le bouton « Options avancées ». Dans l'écran des options avancées, cliquez sur « Paramètres de démarrage ».

Cliquez sur le bouton « Redémarrer ». Votre PC va redémarrer sur l'écran Paramètres de démarrage. Appuyez sur F5 pour démarrer en Mode sans échec avec prise en charge réseau.

Vidéo montrant comment démarrer Windows 8 en « Mode sans échec avec prise en charge réseau » :

Utilisateurs de Windows 10 : Cliquez sur le logo Windows et sélectionnez l'icône d'alimentation. Dans le menu ouvert, cliquez sur « Redémarrer » tout en maintenant la touche « Maj » de votre clavier enfoncée. Dans la fenêtre « choisir une option », cliquez sur « Dépannage », puis sélectionnez « Options avancées ».

Dans le menu des options avancées, sélectionnez « Paramètres de démarrage » et cliquez sur le bouton « Redémarrer ». Dans la fenêtre suivante, vous devez cliquer sur le bouton « F5 » de votre clavier. Cela redémarrera votre système d'exploitation en mode sans échec avec prise en charge réseau.

Vidéo montrant comment démarrer Windows 10 en « Mode sans échec avec prise en charge réseau » :

Extrayez l'archive téléchargée et exécutez le fichier Autoruns.exe.

Dans l'application Autoruns, cliquez sur « Options » en haut et décochez les options « Hide Empty Locations » et « Hide Windows Entries ». Après cette procédure, cliquez sur l'icône « Refresh ».

Vérifiez la liste fournie par l'application Autoruns et localisez le fichier de malware que vous souhaitez éliminer.

Vous devez noter son chemin complet et son nom. Notez que certains malwares cachent les noms de processus sous des noms de processus Windows légitimes. À ce stade, il est très important d'éviter de supprimer des fichiers système. Après avoir localisé le programme suspect que vous souhaitez supprimer, cliquez avec le bouton droit de la souris sur son nom et choisissez « Delete ».

Après avoir supprimé le malware via l'application Autoruns (cela garantit que le malware ne s'exécutera pas automatiquement au prochain démarrage du système), vous devez rechercher le nom du malware sur votre ordinateur. Assurez-vous d'activer les fichiers et dossiers cachés avant de continuer. Si vous trouvez le nom de fichier du malware, assurez-vous de le supprimer.

Redémarrez votre ordinateur en mode normal. Suivre ces étapes devrait supprimer tout malware de votre ordinateur. Notez que la suppression manuelle des menaces nécessite des compétences informatiques avancées. Si vous ne possédez pas ces compétences, laissez la suppression des malwares aux programmes antivirus et anti-malware.

Ces étapes peuvent ne pas fonctionner avec les infections de malwares avancées. Comme toujours, il est préférable de prévenir l'infection plutôt que d'essayer de supprimer un malware plus tard. Pour garder votre ordinateur en sécurité, installez les dernières mises à jour du système d'exploitation et utilisez un logiciel antivirus. Pour être sûr que votre ordinateur est exempt d'infections de malwares, nous vous recommandons de l'analyser avec Combo Cleaner Antivirus pour Windows.

Foire aux questions (FAQ)

Mon ordinateur est infecté par le malware NodeRabbit, dois-je formater mon périphérique de stockage pour m'en débarrasser ?

Le formatage supprimera NodeRabbit, mais il efface également tous les fichiers du disque. Avant d'aller aussi loin, analysez le système avec un outil de sécurité réputé tel que Combo Cleaner. Les développeurs doivent également examiner leurs extensions VS Code et leurs hooks Git, car NodeRabbit peut se cacher dans les deux.

Quels sont les problèmes les plus graves que le malware NodeRabbit peut causer ?

NodeRabbit donne aux attaquants un point d'ancrage caché sur l'ordinateur. Ils peuvent exécuter des commandes, accéder aux fichiers et les modifier, collecter des détails sur le système et le réseau, et déployer d'autres malwares. Pour la victime, cela peut entraîner le vol de données professionnelles, la compromission de comptes d'entreprise, l'espionnage et une violation plus large du réseau de son employeur.

Quel est le but du malware NodeRabbit ?

NodeRabbit est un outil de cyberespionnage. Son but est de donner au groupe Mirage Kitten un accès distant durable aux machines des développeurs afin qu'ils puissent recueillir des informations, exécuter des commandes et déployer des charges utiles supplémentaires tout en restant inaperçus.

Comment le malware NodeRabbit a-t-il infiltré mon ordinateur ?

NodeRabbit s'est propagé par le biais de fausses offres d'emploi envoyées via LinkedIn et les plateformes de recherche d'emploi. Les victimes recevaient des tests de codage comme Front-Technical-Challenge.zip, qui contenait un paquet npm malveillant (colorized_terminal ou pretty-log) qui lançait le RAT une fois le projet exécuté.

Combo Cleaner me protégera-t-il des malwares ?

Oui, Combo Cleaner peut détecter et supprimer la plupart des malwares connus, y compris les RAT. Les menaces avancées comme NodeRabbit ont tendance à se cacher profondément dans le système, il est donc recommandé d'exécuter une analyse complète du système pour s'assurer que rien ne reste.