Pesquisadores de cibersegurança descobriram nova infraestrutura e um malware até então não documentado associado à Nimbus Manticore, um grupo de hackers patrocinado pelo Estado iraniano e ligado ao Corpo da Guarda Revolucionária Islâmica (IRGC).
Em uma nova análise publicada nesta terça-feira, a Group-IB descreveu o ator de espionagem cibernética como um dos grupos APT iranianos mais ativos em 2026. A Nimbus Manticore, também conhecida como GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail e UNC1549, é considerada vinculada à Tortoiseshell, também chamada de Imperial Kitten e Unyielding Wasp, que faz parte do cluster Charming Kitten, ou Eclipsed Wasp.
A Tortoiseshell é conhecida por estar ativa desde pelo menos julho de 2018, com foco principalmente em organizações de defesa, setor aeroespacial, provedores de serviços de TI e instituições militares no Oriente Médio e nos Estados Unidos. A Nimbus Manticore também tem histórico de operar sua própria versão da campanha Dream Job, usando pretextos de oportunidades de trabalho para distribuir malware em ataques de engenharia social.
A empresa de cibersegurança de Singapura afirmou ter identificado uma infraestrutura extensa da Tortoiseshell espalhada pela Europa e pelo Oriente Médio, além de uma ferramenta de tunelamento baseada em SSH e um backdoor em C++ que compartilha semelhanças com o TWOSTROKE, outro backdoor já atribuído ao threat actor.
“A infraestrutura da Tortoiseshell descoberta pode indicar um perfil de alvo mais amplo, com foco em países do Oriente Médio, além de países europeus”, disseram os pesquisadores da Group-IB Mansour Alhmoud e Mohamed Emam.
As descobertas reforçam um relatório recente da Kaspersky, que detalhou o uso, pelo threat actor, de um novo backdoor para Windows chamado NightLedger e de dois tuneladores WebSocket personalizados, BridgeHead e ArcBridge, com o objetivo de manter acesso persistente a hosts comprometidos em ataques contra entidades no Oriente Médio, na África e no Sul da Ásia.
Um dos novos artefatos encontrados é uma ferramenta de tunelamento reverso por SSH que se disfarça de API do Windows Terminal Server SDK enquanto estabelece uma conexão SSH com a infraestrutura do operador em 172.86.98[.]113, na porta 443.
A segunda família de malware é um backdoor que tem sobreposição com o TWOSTROKE, um implante em C++ que permite coletar informações do sistema, carregar DLLs, manipular arquivos e manter persistência. O backdoor imita a DLL do Windows Terminal Server SDK, wtsapi32.dll, e usa um de três servidores de comando e controle, C2, codificados no próprio malware para estabelecer uma conexão HTTPS e aguardar novas instruções.
Ao receber uma resposta do servidor C2, o malware extrai o comando e cria uma nova thread de trabalho para executá-lo. Os comandos permitem baixar e enviar arquivos, executar um binário ou DLL, coletar informações do host, listar diretórios e excluir arquivos específicos.
“A identificação de infraestrutura voltada a países do Oriente Médio e da Europa, somada ao desenvolvimento contínuo de ferramentas como o backdoor TWOSTROKE e utilitários de tunelamento baseados em SSH, demonstra um threat actor que evolui de forma constante seu conjunto de ferramentas e adapta suas técnicas para manter acesso a um número crescente de alvos”, afirmou a Group-IB.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...