MiniFast Bagdør

Den iranske statsstøttede trusselsaktør kendt som Nimbus Manticore, der er forbundet med Den Islamiske Revolutionsgarde, også sporet som Screening Serpens og UNC1549, har intensiveret sine cyberkampagner mod organisationer i USA, Europa og Mellemøsten efter de fælles amerikansk-israelske angreb på Iran i februar 2026. Gruppen målrettede virksomheder i luftfarts- og softwareindustrien ved hjælp af stadig mere sofistikerede indtrængningsteknikker og malware-leveringsmetoder.

Sikkerhedsforskere identificerede adskillige operationelle ændringer, der adskiller de seneste kampagner fra tidligere aktiviteter. Disse omfatter introduktionen af en ny bagdør kaldet MiniFast, udvidet brug af AppDomain-kapring og et strategisk fokus mod SEO-forgiftning for at inficere ofre via falske softwaredownloadportaler. Analytikere opdagede også indikatorer, der tyder på, at udvikling assisteret af kunstig intelligens kan have accelereret skabelsen af malwaren.

Fra falske jobtilbud til søgemaskinemanipulation

Nimbus Manticore har historisk set fokuseret på mål inden for forsvar, luftfart og telekommunikation gennem karriereorienterede phishingkampagner, almindeligvis omtalt som 'iranske drømmejob'-operationer. Taktikkerne minder meget om Operation Dream Job, en langvarig social engineering-kampagne forbundet med nordkoreanske trusselsaktører.

Mellem februar og april 2026 gennemførte gruppen tre forskellige kampagnebølger uden afbrydelse, hvilket demonstrerede et aggressivt operationelt tempo under den regionale konflikt.

I februar 2026 modtog medarbejdere i luftfarts- og softwareorganisationer i Saudi-Arabien og Australien falske jobtilbud, der indeholdt ZIP-arkiver hostet på OnlyOffice. Åbning af en godartet eksekverbar fil i arkivet udløste AppDomain-kapring, som i sidste ende installerede MiniJunk-malware-DLL'en.

I marts 2026 anvendte trusselsaktøren en lignende infektionskæde, men indarbejdede et trojansk Zoom-installationsprogram i processen. Malwaren blev sandsynligvis distribueret via falske mødeinvitationer og installerede i sidste ende den nyligt identificerede MiniFast-bagdør.

I april 2026 introducerede Nimbus Manticore en helt anden strategi ved at anvende SEO-forgiftningsteknikker. Operatørerne oprettede en forfalsket downloadside, der udgav sig for at være Oracle SQL Developer, og manipulerede søgemaskineplaceringer på Bing og DuckDuckGo ved at registrere adskillige understøttende domæner, der var designet til at øge webstedets synlighed.

Dette markerede det første kendte tilfælde, hvor gruppen opgav traditionel spearphishing til fordel for søgemaskinedrevet malwaredistribution. I stedet for direkte at målrette ofrene via e-mail-lokkemidler, ventede angriberne på, at udviklere og IT-personale søgte efter almindeligt anvendt software online, før de leverede inficerede installationsprogrammer.

MiniFast-bagdør afslører udvidede tekniske muligheder

MiniFast, også kendt som MiniUpdate, repræsenterer en væsentlig forbedring i Nimbus Manticores malware-arsenal. Forskere beskriver malwaren som en fuldt udstyret bagdør, der er konstrueret til vedvarende adgang, fjernkommandoudførelse og langvarige spionageoperationer.

Før malwaren går ind i sin kommandosløjfe, sender den grundlæggende systeminformation til sin kommando- og kontrolinfrastruktur via HTTP. Derefter henter den løbende instruktioner, uploader udførelsesresultater, eksfiltrerer filer og downloader yderligere nyttelast.

Bagdøren understøtter en bred vifte af funktioner, herunder:

• Filmanipulation og mappeoptælling
• Procesliste og tvungen procesafslutning via PID
• Fjernudførelse af kommandoer via cmd.exe
• DLL-indlæsning og oprettelse af ZIP-arkiv
• Vedholdenhed gennem planlagte opgaver
• Privilegieeskalering ved hjælp af kommandoen 'runas'
• Justerbare beacon-intervaller med konfigurerbar jitter til randomiseret kommunikation

Forskerne observerede også tegn på, at AI-assisterede kodningsværktøjer kan have bidraget til malwarens udvikling. Beviserne omfatter usædvanligt detaljeret fejlhåndtering, overdreven defensiv programmeringslogik, gentagne navngivningskonventioner, meget detaljerede statusmeddelelser i fejlretningsstil og modulær kodestrukturering, hvilket er usædvanligt for malware af denne skala og kompleksitet.

Konflikt næret hurtigere og bredere cyberoperationer

Cybersikkerhedseksperter mener, at kampagnerne demonstrerer en betydelig operationel udvikling for Nimbus Manticore. I stedet for at sætte farten ned under aktiv geopolitisk konflikt, øgede gruppen både tempoet og sofistikeringen af sine aktiviteter.

Den hurtige implementering af en nyudviklet bagdør midt i igangværende operationer antyder accelererede malwareudviklingscyklusser, potentielt understøttet af kunstig intelligens-værktøjer. Samtidig afspejler overgangen fra målrettet phishing til SEO-forgiftning en bredere ambition, der rækker ud over traditionelle spionagefokuserede indtrængen i Mellemøsten.

Ved at kombinere phishing-operationer, AppDomain-kapring, AI-assisteret malwareudvikling og søgemaskinemanipulation på tværs af flere kampagnebølger demonstrerede Nimbus Manticore en yderst adaptiv trusselsmodel, der er i stand til at udvikle sig hurtigt i perioder med geopolitisk ustabilitet.