Фахівці виявили нові кросплатформні трояни віддаленого доступу NodeRabbit та PollCat, які використовує іранське угруповання Nimbus Manticore. Хакери маскуються під рекрутерів у мережі LinkedIn та пропонують розробникам виконати тестове завдання із ZIP-архіву. Шкідливий код заховано в бібліотеці Node.js, яка запускає прихований процес під час імпорту файлу server.js.

Шкідливе ПЗ підтримує роботу на операційних системах Windows, Linux та macOS. Після активації шкідник збирає конфігурацію системи, виконує довільні консольні команди, сканує каталоги з кодом та шукає конфігурації проєктів. Закріплення в системі виконується через реєстр Windows, завдання cron у Linux або Launch Agents у macOS, імітуючи системні оновлення Microsoft Edge або інструментів Intel.