Nimbus Manticore fügt seinem Arsenal eine C++-Backdoor und einen SSH-Tunneler hinzu

Am 26. August 2026 veröffentlichte Group-IB eine neue technische Analyse zu Nimbus Manticore, einer vom iranischen Staat gesponserten und mit den IRGC verbundenen Gruppe. Der Akteur wird als eine der aktivsten iranischen APT-Gruppen des Jahres beschrieben. Die Analyse stammt von den Forschern Mansour Alhmoud und Mohamed Emam. Der Bericht stellt zwei neue Werkzeuge vor: ein Tool für Reverse-SSH-Tunneling und eine C++-Backdoor, die Ähnlichkeiten mit TWOSTROKE aufweist. Darüber hinaus wird eine ausgeweitete Tortoiseshell-Infrastruktur in Europa und im Nahen Osten sichtbar, was auf eine mögliche Ausweitung der Zielauswahl hindeutet. Nimbus Manticore ist auch unter den Aliasen GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail und UNC1549 bekannt. Die Entdeckung neuer Werkzeuge zeigt, dass die Gruppe in die Entwicklung von Malware investiert.

Ein Reverse-SSH-Tunneler, getarnt als falsche Windows-Terminal-Server-API

Das erste identifizierte Werkzeug ist ein Tool für Reverse-SSH-Tunneling. Es tarnt sich als API des Windows Terminal Server SDK, einer legitim aussehenden Microsoft-Komponente. Nach der Aktivierung stellt das Tool eine SSH-Verbindung zur Infrastruktur des Betreibers unter der Adresse 172.86.98[.]113 auf Port 443 her. Das Reverse-Tunneling ermöglicht die Umgehung von Netzwerkbeschränkungen: Es ist das kompromittierte System, das eine ausgehende Verbindung aufbaut, wodurch die Notwendigkeit entfällt, eingehende Ports zu öffnen. Der Bericht enthält keine Details zum Verbreitungsweg. Es ist nicht bekannt, wie das Tool auf kompromittierten Systemen installiert wird.

Die neue C++-Backdoor tarnt sich als wtsapi32.dll und repliziert TWOSTROKE

Group-IB hat außerdem eine in C++ geschriebene Backdoor identifiziert, die sich mit TWOSTROKE überschneidet, einer Malware, die bereits zuvor Nimbus Manticore zugeschrieben wurde. Die neue Backdoor tarnt sich als wtsapi32.dll, eine Windows-Systembibliothek. Für die Kommunikation mit dem Command-and-Control-Server verwendet sie einen von drei hartcodierten C2-Servern und baut eine HTTPS-Verbindung auf. Die Funktionsweise entspricht einem passiven Implantat: Nach dem Start wartet die Backdoor auf Anweisungen. Wenn sie eine Antwort vom C2-Server erhält, extrahiert sie den Befehl und erstellt einen neuen Worker-Thread, um ihn auszuführen. Die unterstützten Befehle ermöglichen das Herunter- und Hochladen von Dateien, das Ausführen einer Binärdatei oder DLL, das Sammeln von Host-Informationen, das Auflisten von Verzeichnissen und das Löschen bestimmter Dateien. Die Backdoor integriert außerdem Funktionen zum Sammeln von Systeminformationen, zum Laden von DLLs, zur Dateimanipulation und zur Persistenz. Das passive Verhalten ist konsistent mit einer Backdoor, die für langandauernde Operationen konzipiert ist. Die Adressen der drei C2-Server wurden nicht veröffentlicht. Die Entscheidung, sich als Terminal-Server-Komponenten zu tarnen, sowohl beim Tunneler als auch bei der Backdoor, deutet auf einen Versuch hin, signaturbasierte Kontrollen zu umgehen.

NightLedger, BridgeHead und ArcBridge: der Beitrag von Kaspersky

Die Entdeckungen von Group-IB basieren auch auf einem kürzlich erschienenen Bericht von Kaspersky. Das russische Unternehmen hat die Windows-Backdoor NightLedger und zwei maßgeschneiderte WebSocket-Tunneler namens BridgeHead und ArcBridge beschrieben. Diese Werkzeuge werden eingesetzt, um bei Angriffen im Nahen Osten, in Afrika und Südasien einen persistenten Zugriff aufrechtzuerhalten. Die Zusammenführung der beiden Berichte ermöglicht die Rekonstruktion eines größeren und sich weiterentwickelnden Arsenals. Nimbus Manticore kombiniert Backdoors und verschiedene Tunneltypen, um die Präsenz auf den Systemen zu gewährleisten. Die Persistenz wird sowohl durch die Backdoor als auch durch die Tunneler sichergestellt, die es ermöglichen, den Zugriff auch nach Neustarts oder teilweisen Bereinigungsmaßnahmen wiederherzustellen.

Von der europäischen Infrastruktur zur sektoralen Zielauswahl: Wer im Visier steht

Nimbus Manticore ist mit Tortoiseshell verbunden, auch bekannt als Imperial Kitten oder Unyielding Wasp. Tortoiseshell gehört zum Cluster Charming Kitten, Alias Eclipsed Wasp. Tortoiseshell ist mindestens seit Juli 2018 aktiv und zielt auf Verteidigung, Luft- und Raumfahrt, IT-Dienstleister und militärische Organisationen im Nahen Osten und in den USA ab. Der Akteur hat in der Vergangenheit eine eigene Version der Kampagne „Dream Job“ durchgeführt, die auf Social Engineering mit gefälschten Stellenangeboten basiert, um Malware zu verbreiten. Die ausgeweitete Tortoiseshell-Infrastruktur in Europa und im Nahen Osten deutet auf eine Ausweitung der Zielauswahl auf Länder im Nahen Osten und in Europa hin. Die Hauptauswirkung ist Cyber-Spionage: persistenter Zugriff auf kompromittierte Systeme, Datenexfiltration und Sammlung sensibler Informationen. Betroffen sind die Sektoren Verteidigung, Luft- und Raumfahrt, IT und Militär. Die betroffenen geografischen Regionen reichen vom Nahen Osten über Europa bis zu den USA, Afrika und Südasien. Die Ausweitung der Infrastruktur in Europa und im Nahen Osten, kombiniert mit bereits gemeldeten Angriffen in Afrika und Südasien, zeichnet das Bild einer multiregionalen Operation. Der Bericht vergibt keinen CVSS-Score oder eine formelle Schweregradklassifizierung, was konsistent mit der Natur einer staatlich zugeschriebenen Spionageaktivität ist. Der Akteur entwickelt Werkzeuge und Techniken weiter, um den Zugriff auf eine wachsende Zahl von Zielen aufrechtzuerhalten.

Indikatoren für eine Kompromittierung und keine spezifischen Gegenmaßnahmen

Das veröffentlichte Material enthält keine spezifischen Empfehlungen zur Schadensbegrenzung. In Ermangelung von Patches oder offiziellen Verfahren bleibt die Überwachung der Kompromittierungsindikatoren die einzige sofortige Gegenmaßnahme für Verteidiger. Die bekannt gegebenen Indikatoren sind die IP-Adresse 172.86.98[.]113 auf Port 443 und die Verwendung der DLL wtsapi32.dll als Tarnung. Die Backdoor nutzt drei hartcodierte HTTPS-C2-Server, deren Adressen jedoch nicht angegeben wurden. Die Nichtveröffentlichung der C2-Adressen schränkt die Fähigkeit von Organisationen ein, die Kommunikation proaktiv zu blockieren. Organisationen sollten auf verdächtige Prozesse im Zusammenhang mit wtsapi32.dll und auf Verbindungen zur genannten IP-Adresse achten.