I ricercatori di sicurezza informatica hanno individuato nuova infrastruttura e malware finora non documentati collegati a Nimbus Manticore, un gruppo di cyber spionaggio associato all’Iran e considerato tra i più attivi nel 2026. Le analisi indicano che il gruppo opera con una rete di server e risorse distribuite, con una presenza rilevante in Europa e in Medio Oriente, segnale di un possibile ampliamento del profilo di targeting verso nuovi Paesi e settori.
Nimbus Manticore è noto anche per l’uso di campagne basate su social engineering, incluse varianti del modello Dream Job, in cui l’attacco viene mascherato da opportunità lavorativa per convincere le vittime a eseguire file malevoli. Questo approccio consente di superare difese tecniche facendo leva su fiducia e curiosità, aprendo la strada a infezioni iniziali e movimenti laterali.
Tra gli artefatti emersi spicca un tool di tunneling SSH in modalità reverse, progettato per creare un canale di comunicazione persistente tra sistema compromesso e infrastruttura dell’operatore. Il componente è camuffato per sembrare una libreria o un elemento legittimo legato ai servizi di terminal server su Windows, una scelta che aiuta a ridurre i sospetti durante controlli superficiali. La connessione viene stabilita su una porta comunemente consentita come la 443, aumentando le probabilità di attraversare firewall e proxy aziendali.
È stata inoltre identificata una backdoor in C++ con caratteristiche simili a TWOSTROKE, un impianto già attribuito allo stesso ecosistema. Questa backdoor è in grado di raccogliere informazioni di sistema, manipolare file, caricare DLL, mantenere persistenza e ricevere comandi da server di comando e controllo tramite HTTPS. Il malware utilizza server C2 preconfigurati e, una volta ottenuta la risposta, estrae il comando e avvia un thread dedicato per eseguirlo, supportando operazioni come upload e download, esecuzione di binari o DLL, enumerazione di directory e cancellazione mirata di file.
L’evoluzione di backdoor e tunnel SSH evidenzia una strategia orientata alla persistenza e alla flessibilità operativa, con tecniche di mascheramento che imitano componenti Windows per confondersi nel rumore di sistema e mantenere accesso nel tempo.