La minaccia Nimbus Manticore torna a farsi notare con una campagna di cyber spionaggio che prende di mira organizzazioni in Medio Oriente, Africa e Asia meridionale. Il gruppo, collegato a interessi statali iraniani e conosciuto anche con altri nomi operativi, sta usando una combinazione di malware Windows e strumenti di tunneling per mantenere accesso nascosto e resiliente nelle reti compromesse.
Tra i paesi colpiti figurano Egitto, Giordania, Tanzania, Pakistan, Etiopia e Burkina Faso, con obiettivi che includono enti governativi, PMI, telecomunicazioni, aviazione e settore finanziario.
Backdoor NightLedger: cuore tecnico della campagna
Il cuore tecnico della campagna è la backdoor NightLedger, un malware finora non documentato progettato per ricognizione, esecuzione comandi e raccolta dati. NightLedger consente operazioni tipiche di un impianto di accesso remoto come gestione file, enumerazione processi e acquisizione screenshot, utili sia per attività di intelligence sia per preparare movimenti laterali. La comunicazione avviene verso server esterni tramite HTTPS e la logica di esecuzione comandi ricorda backdoor già viste in precedenti operazioni attribuite allo stesso attore. Un dettaglio rilevante è il caricamento tramite DLL side loading, tecnica che sfrutta librerie legittime per avviare codice malevolo riducendo la visibilità ai controlli tradizionali.
Tunneling WebSocket: BridgeHead e ArcBridge
Accanto a NightLedger emergono due tunnel WebSocket personalizzati chiamati BridgeHead e ArcBridge. BridgeHead opera come proxy SOCKS5 e viene usato per creare un canale di accesso di rete occulto. Il modello operativo è particolarmente insidioso perché il server di comando e controllo avvia le connessioni e invia istruzioni binarie, mentre il malware sulla macchina vittima inoltra traffico verso destinazioni scelte dall’operatore. In pratica il sistema compromesso diventa un relay covert e tutto il traffico TCP appare come se provenisse dalla rete della vittima, un vantaggio enorme per eludere geoblocking e controlli di origine.
Accesso iniziale e difese consigliate
Il vettore di accesso iniziale non è confermato, ma il gruppo è noto per phishing mirato con esche legate a offerte di lavoro e pagine che imitano brand affidabili e piattaforme di recruiting, oltre a siti simili a servizi di videoconferenza che conducono ad archivi malevoli ospitati su servizi di file sharing. Per difendersi servono controlli su allegati e archivi scaricati, monitoraggio di side loading anomalo, ispezione del traffico WebSocket e rilevazione di comportamenti da tunnel e proxy su endpoint Windows.