Nimbus Manticore ajoute une backdoor C++ et un tunneler SSH à son arsenal

L’analyse du 26 août élargit le tableau sur un acteur iranien déjà très actif

Le 26 août 2026, Group-IB a publié une nouvelle analyse technique sur Nimbus Manticore, un groupe iranien sponsorisé par l’État et affilié à l’IRGC. L’acteur est décrit comme l’un des APT iraniens les plus actifs de l’année. L’analyse est signée par les chercheurs Mansour Alhmoud et Mohamed Emam. Le rapport présente deux nouveaux outils : un outil de tunneling SSH inversé et une backdoor C++ qui partage des similitudes avec TWOSTROKE. Il révèle également une infrastructure Tortoiseshell étendue en Europe et au Moyen-Orient, signe d’un possible élargissement du ciblage. Nimbus Manticore est également connu sous les alias GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail et UNC1549. La découverte de nouveaux outils indique que le groupe investit dans le développement de malwares.

Un tunneler SSH inversé dissimulé dans une fausse API de Windows Terminal Server

Le premier outil identifié est un outil de tunneling SSH inversé. Il se fait passer pour une API du Windows Terminal Server SDK, un composant Microsoft à l’apparence légitime. Une fois activé, l’outil établit une connexion SSH vers l’infrastructure de l’opérateur à l’adresse 172.86.98[.]113 sur le port 443. Le tunneling inversé permet de contourner les restrictions réseau : c’est le système compromis qui se connecte vers l’extérieur, réduisant ainsi la nécessité d’ouvrir des ports entrants. Le rapport ne fournit pas de détails sur le vecteur de distribution. On ignore comment l’outil est installé sur les systèmes compromis.

La nouvelle backdoor C++ se fait passer pour wtsapi32.dll et réplique TWOSTROKE

Group-IB a également identifié une backdoor écrite en C++ qui chevauche TWOSTROKE, un malware précédemment attribué à Nimbus Manticore. La nouvelle backdoor se fait passer pour wtsapi32.dll, une bibliothèque système de Windows. Pour communiquer avec le centre de commande et de contrôle, elle utilise l’un de trois serveurs C2 codés en dur et établit une connexion HTTPS. Son fonctionnement est celui d’un implant passif : après le démarrage, la backdoor attend des instructions. Lorsqu’elle reçoit une réponse du serveur C2, elle extrait la commande et crée un nouveau thread de travail pour l’exécuter. Les commandes prises en charge permettent de télécharger et d’envoyer des fichiers, d’exécuter un binaire ou une DLL, de collecter des informations sur l’hôte, de lister des répertoires et de supprimer des fichiers spécifiques. La backdoor intègre également des fonctions de collecte d’informations système, de chargement de DLL, de manipulation de fichiers et de persistance. Le comportement passif est cohérent avec une backdoor conçue pour des opérations prolongées. Les adresses des trois serveurs C2 n’ont pas été divulguées. Le choix de se faire passer pour des composants du Terminal Server, à la fois dans le tunneler et dans la backdoor, suggère une tentative d’échapper aux contrôles basés sur les signatures.

NightLedger, BridgeHead et ArcBridge : la contribution de Kaspersky

Les découvertes de Group-IB s’appuient également sur un récent rapport de Kaspersky. La société russe a décrit la backdoor Windows NightLedger et deux tunnelers WebSocket personnalisés, appelés BridgeHead et ArcBridge. Ces outils sont utilisés pour maintenir un accès persistant lors d’attaques menées au Moyen-Orient, en Afrique et en Asie du Sud. L’intégration des deux rapports permet de reconstituer un arsenal plus large et en évolution. Nimbus Manticore combine des backdoors et plusieurs types de tunnels pour garantir la persistance sur les systèmes. La persistance est assurée à la fois par la backdoor et par les tunnelers, qui permettent de rétablir l’accès même après des redémarrages ou des opérations de nettoyage partielles.

De l’infrastructure européenne au ciblage sectoriel : qui est dans le collimateur

Nimbus Manticore est lié à Tortoiseshell, également connu sous le nom d’Imperial Kitten ou d’Unyielding Wasp. Tortoiseshell appartient au cluster Charming Kitten, alias Eclipsed Wasp. Tortoiseshell est actif au moins depuis juillet 2018 et cible la défense, l’aérospatiale, les fournisseurs de services IT et les organisations militaires au Moyen-Orient et aux États-Unis. L’acteur a par le passé mené sa propre version de la campagne « Dream Job », fondée sur l’ingénierie sociale autour d’opportunités d’emploi pour distribuer des malwares. L’infrastructure Tortoiseshell étendue en Europe et au Moyen-Orient suggère un élargissement du ciblage vers les pays du Moyen-Orient et d’Europe. L’impact principal est l’espionnage informatique : accès persistant aux systèmes compromis, exfiltration de données et collecte d’informations sensibles. Les secteurs concernés incluent la défense, l’aérospatiale, l’IT et le militaire. Les zones géographiques impliquées vont du Moyen-Orient à l’Europe, des États-Unis à l’Afrique et à l’Asie du Sud. L’extension de l’infrastructure en Europe et au Moyen-Orient, combinée aux attaques déjà signalées en Afrique et en Asie du Sud, dessine une opération à l’échelle multirégionale. Le rapport n’attribue pas de score CVSS ni de classification de gravité formelle, ce qui est cohérent avec la nature d’espionnage attribuée à un État. L’acteur fait évoluer ses outils et ses techniques pour maintenir l’accès à un nombre croissant de cibles.

Indicateurs de compromission et aucune atténuation spécifique

Le matériel publié ne contient pas d’indications d’atténuation spécifiques. En l’absence de correctifs ou de procédures officielles, la surveillance des indicateurs de compromission reste la seule contre-mesure immédiate à la disposition des défenseurs. Les indicateurs divulgués sont l’adresse IP 172.86.98[.]113 sur le port 443 et l’utilisation de la DLL wtsapi32.dll comme dissimulation. La backdoor utilise trois serveurs C2 HTTPS codés en dur, mais leurs adresses n’ont pas été précisées. La non-publication des adresses C2 limite la capacité des organisations à bloquer de manière proactive les communications. Les organisations devraient prêter attention aux processus suspects associés à wtsapi32.dll et aux connexions vers l’IP indiquée.