MiniFast Backdoor

Íránský státem sponzorovaný aktér hrozby známý jako Nimbus Manticore, napojený na Islámské revoluční gardy, sledovaný také jako Screening Serpens a UNC1549, zintenzivnil své kybernetické kampaně proti organizacím ve Spojených státech, Evropě a na Středním východě po společných americko-izraelských útocích na Írán v únoru 2026. Skupina se zaměřila na společnosti v leteckém a softwarovém průmyslu s využitím stále sofistikovanějších technik vniknutí a metod distribuce malwaru.

Bezpečnostní výzkumníci identifikovali několik provozních změn, které odlišují nejnovější kampaně od dřívějších aktivit. Patří mezi ně zavedení nového backdooru s názvem MiniFast, rozšířené používání únosů AppDomain a strategický přechod k SEO poisoningu s cílem infikovat oběti prostřednictvím falešných portálů pro stahování softwaru. Analytici také objevili indikátory naznačující, že vývoj s pomocí umělé inteligence mohl urychlit vznik malwaru.

Od falešných pracovních nabídek k manipulaci s vyhledávači

Operace Nimbus Manticore se historicky zaměřovala na cíle v oblasti obrany, letectví a telekomunikací prostřednictvím phishingových kampaní s kariérní tematikou, běžně označovaných jako operace „Íránská práce snů“. Taktika se velmi podobá operaci Dream Job, dlouhodobé kampani sociálního inženýrství spojené se severokorejskými aktéry hrozby.

Mezi únorem a dubnem 2026 skupina provedla bez přerušení tři odlišné vlny kampaně, což během regionálního konfliktu prokázalo agresivní operační tempo.

V únoru 2026 obdrželi zaměstnanci leteckých a softwarových organizací v Saúdské Arábii a Austrálii podvodné pracovní nabídky obsahující ZIP archivy hostované na OnlyOffice. Otevření neškodného spustitelného souboru uvnitř archivu spustilo únos AppDomain, který nakonec nasadil malware DLL MiniJunk.

V březnu 2026 útočník použil podobný infekční řetězec, ale do procesu zahrnul instalační program Zoom s trojským koněm. Malware byl pravděpodobně distribuován prostřednictvím falešných pozvánek na schůzky a nakonec nainstaloval nově identifikovaný backdoor MiniFast.

V dubnu 2026 představil Nimbus Manticore zcela odlišnou strategii s využitím technik SEO poisoningu. Provozovatelé vytvořili falešnou stránku pro stahování, která se vydávala za Oracle SQL Developer, a manipulovali s hodnocením ve vyhledávačích Bing a DuckDuckGo registrací řady podpůrných domén, jejichž cílem bylo zvýšit viditelnost webu.

Toto znamenalo první známý případ, kdy skupina opustila tradiční spearphishing ve prospěch distribuce malwaru prostřednictvím vyhledávačů. Místo přímého cílení na oběti prostřednictvím e-mailových návnad útočníci čekali, až vývojáři a IT pracovníci vyhledají běžně používaný software online, než doručí infikované instalační soubory.

Backdoor MiniFast odhaluje rozšiřující se technické možnosti

MiniFast, známý také jako MiniUpdate, představuje významný pokrok v malwarovém arzenálu Nimbus Manticore. Výzkumníci popisují malware jako plně funkční zadní vrátka navržená pro trvalý přístup, vzdálené provádění příkazů a dlouhodobé špionážní operace.

Před vstupem do své příkazové smyčky malware přenáší základní systémové informace do své velitelské a řídicí infrastruktury přes HTTP. Poté průběžně načítá instrukce, nahrává výsledky provádění, exfiltruje soubory a stahuje další datové části.

Backdoor podporuje širokou škálu funkcí, včetně:

• Manipulace se soubory a výčet adresářů
• Výpis procesů a vynucené ukončení procesů pomocí PID
• Vzdálené spuštění příkazů pomocí cmd.exe
• Načítání DLL a vytváření ZIP archivů
• Vytrvalost prostřednictvím naplánovaných úkolů
• Eskalace oprávnění pomocí příkazu 'runas'
• Nastavitelné intervaly signálů s konfigurovatelným jitterem pro náhodné uspořádání komunikace

Výzkumníci také pozorovali známky toho, že k vývoji malwaru mohly přispět nástroje pro kódování s podporou umělé inteligence. Mezi důkazy patří neobvykle podrobné zpracování chyb, nadměrná obranná programovací logika, opakující se konvence pojmenování, velmi detailní stavové zprávy ve stylu ladění a modulární strukturování kódu, což je u malwaru tohoto rozsahu a složitosti neobvyklé.

Konflikt podnítil rychlejší a širší kybernetické operace

Odborníci na kybernetickou bezpečnost se domnívají, že kampaně demonstrují významný operační vývoj Nimbus Manticore. Skupina během aktivního geopolitického konfliktu nezpomalila, ale naopak zvýšila tempo i sofistikovanost svých aktivit.

Rychlé nasazení nově vyvinutého backdooru uprostřed probíhajících operací naznačuje zrychlené cykly vývoje malwaru, potenciálně podporované nástroji umělé inteligence. Zároveň přechod od cíleného phishingu k SEO poisoningu odráží širší ambice sahající nad rámec tradičních špionážních útoků na Blízkém východě.

Kombinací phishingových operací, únosů domén aplikací, vývoje malwaru s pomocí umělé inteligence a manipulace s vyhledávači napříč několika vlnami kampaní prokázala Nimbus Manticore vysoce adaptivní model hrozeb schopný rychlého vývoje v obdobích geopolitické nestability.