Nimbus Manticore 扩展工具集：新增类 TWOSTROKE 后门与 SSH 隧道工具

网络安全研究人员发现了与 Nimbus Manticore 相关的额外基础设施和此前未记录的恶意软件。Nimbus Manticore 是一个伊朗国家支持的、隶属于伊斯兰革命卫队（IRGC）的黑客组织。
Group-IB 在今天发布的一项新分析中，将该网络间谍行为者描述为 2026 年最活跃的伊朗 APT 组织之一。Nimbus Manticore（又名 GalaxyGato、Mirage Kitten、Screening Serpens、Smoke Sandstorm、Subtle Snail 和 UNC1549）被评估与 Tortoiseshell（又名 Imperial Kitten 和 Unyielding Wasp）有关联，后者属于 Charming Kitten（又名 Eclipsed Wasp）集群的一部分。
Tortoiseshell 已知至少自 2018 年 7 月以来一直活跃，主要针对中东和美国的国防、航空航天、IT 服务提供商及军事组织。Nimbus Manticore 也有过策划其自身版本"梦幻工作"（Dream Job）活动的历史，以伪装成求职机会为主题的社会工程攻击为幌子投递恶意软件。
这家新加坡网络安全公司表示，它发现了遍布欧洲和中东的广泛 Tortoiseshell 基础设施，以及一个基于 SSH 的隧道工具和一个与 TWOSTROKE 有相似之处的 C++ 后门——TWOSTROKE 是另一个已归因于该威胁行为者的后门。
"所发现的 Tortoiseshell 基础设施可能表明其目标范围有所扩大，在关注中东国家的同时，也聚焦欧洲国家，"Group-IB 研究人员 Mansour Alhmoud 和 Mohamed Emam 表示。
这些发现建立在卡巴斯基近期的一份报告之上，该报告详细描述了该威胁行为者使用一个名为 NightLedger 的新 Windows 后门和两个自定义 WebSocket 隧道器 BridgeHead 与 ArcBridge，目的是在针对中东、非洲和南亚实体的攻击中，保持对受感染主机的持久访问。
新发现的其中一件工件是一个反向 SSH 隧道工具，它伪装成 Windows 终端服务器 SDK API，同时在 443 端口与位于"172.86.98[.]113"的操作者基础设施建立 SSH 连接。
第二个恶意软件家族是一个与 TWOSTROKE 重叠的后门，TWOSTROKE 是一个 C++ 植入程序，允许进行系统信息收集、DLL 加载、文件操作和持久化。该后门模仿 Windows 终端服务器 SDK DLL（"wtsapi32.dll"），并使用三个硬编码的命令与控制（C2）服务器之一来建立 HTTPS 连接并等待进一步指令。
收到 C2 服务器的响应后，它会从中提取命令并创建一个新的工作线程来执行该命令。这些命令使恶意软件能够下载/上传文件、执行二进制文件或 DLL、收集主机信息、列出目录以及删除特定文件。
"识别出针对中东和欧洲国家的基础设施，同时持续开发诸如 TWOSTROKE 后门和基于 SSH 的隧道工具等工具，这表明该威胁行为者正在稳步发展其工具集并调整其技术，以在不断增长的攻击目标中维持访问权限，"Group-IB 表示。