O grupo de hackers ligado ao governo iraniano e monitorado como Nimbus Manticore, também conhecido como GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail e UNC1549, foi atribuído a uma nova onda de ataques contra organizações no Oriente Médio, na África e no Sul da Ásia.
As intrusões envolvem o uso de uma backdoor para Windows até então não documentada, chamada NightLedger, além de dois tunelizadores personalizados em WebSocket, BridgeHead e ArcBridge, com o objetivo de manter acesso sigiloso aos ambientes comprometidos.
Entre os alvos da campanha estão entidades no Egito, ambientes de pequenas e médias empresas e de governo na Jordânia e na Tanzânia, organizações de aviação no Paquistão, empresas de telecomunicações na Etiópia e instituições do setor financeiro em Burkina Faso, segundo a Kaspersky.
“O conjunto de ferramentas inclui NightLedger, uma nova backdoor para Windows voltada a reconhecimento, execução de comandos, operações com arquivos, descoberta de processos e captura de telas; além de dois tunelizadores personalizados baseados em WebSocket, ArcBridge e BridgeHead, para acesso sigiloso à rede e tunelamento controlado pelo operador”, disseram os pesquisadores da Kaspersky Omar Amin e Vasily Berdnikov.
O método exato de acesso inicial ainda não foi identificado, embora se saiba que o adversário usa iscas de phishing altamente personalizadas com temas de oportunidades de emprego, disfarçadas como marcas confiáveis e plataformas de recrutamento, além de páginas falsas de videoconferência, para redirecionar as vítimas a arquivos maliciosos hospedados em serviços de compartilhamento de arquivos de terceiros.
Essa rota de acesso, ainda não determinada, é então explorada para entregar os payloads maliciosos, incluindo o NightLedger, que é executado como uma DLL por meio de DLL side-loading.
O malware foi projetado para contatar um servidor externo via HTTPS, interpretar e executar comandos de forma semelhante ao TWOSTROKE, outra backdoor usada anteriormente pelo threat actor.
A lista de comandos compatíveis inclui:
- Coletar informações de identidade do usuário e do host
- Executar um processo ou programa
- Listar diretórios
- Baixar um arquivo para o sistema infectado
- Coletar informações do host e da rede
- Copiar ou apagar arquivos
- Atualizar o intervalo de comunicação com o servidor
- Capturar uma screenshot
- Carregar uma DLL
- Encerrar um processo ou thread
- Enviar arquivo ao servidor de command and control (C2) por uma requisição HTTP POST
- Enumerar unidades lógicas
- Listar processos
- Coletar o arquivo C:\Windows\debug\NetSetup.log, usado para diagnóstico de problemas na associação a domínios, junto com a saída da lista de processos
Outras duas famílias de malware distribuídas nos ataques são BridgeHead, identificado como “unbcl.dll”, um proxy de túnel SOCKS5 observado em ambientes no Egito e no Paquistão e que compartilha algumas semelhanças funcionais com MiniFast, também chamado MiniUpdate e Retrograde, e ArcBridge, outra ferramenta de tunelamento em WebSocket observada em abril de 2026 em atividades contra vítimas no Oriente Médio.
“O servidor de C2 inicia todas as conexões de túnel enviando comandos binários pelo WebSocket; o implant apenas encaminha o tráfego entre os destinos especificados pelo servidor e o canal WebSocket”, afirmaram os pesquisadores sobre o BridgeHead.
“Isso o transforma em um nó de retransmissão: o operador executa as ferramentas do lado do servidor, e todo o tráfego TCP resultante é tunelado pela máquina da vítima como se tivesse origem na rede dela.”
O uso de BridgeHead e ArcBridge indica a continuidade, por parte do threat actor, no emprego de utilitários de tunelamento, algo já observado anteriormente com ferramentas sob medida como LIGHTRAIL e POLLBLEND.
A divulgação ocorre poucos dias depois de a Group-IB revelar uma nova amostra de malware, codinome HOLLOWGRAPH, ligada ao framework Cavern, também chamado Cav3rn, usado por um grupo de hackers iraniano apelidado de Cavern Manticore.
“O HOLLOWGRAPH abusa da Microsoft Graph API para transformar um calendário comprometido do Microsoft 365 em um canal sigiloso de command and control bidirecional”, informou a empresa.
“Usando a Microsoft Graph API, ele trata o calendário da caixa de correio comprometida como um ponto de troca bidirecional.
Os operadores inserem tarefas como eventos de calendário, e o implant exfiltra arquivos roubados ao criar seus próprios eventos com dados criptografados anexados.
Para evitar chamar a atenção do dono da caixa de correio, cada evento é datado muito no futuro, em 13 de maio de 2050, com os payloads anexados como arquivos ao evento.”
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...