MiniFast Backdoor

Ο ιρανικός κρατικός φορέας απειλών, γνωστός ως Nimbus Manticore, που συνδέεται με το Σώμα των Φρουρών της Ισλαμικής Επανάστασης, και ο οποίος παρακολουθείται επίσης ως Screening Serpens και UNC1549, έχει εντείνει τις κυβερνοεκστρατείες του εναντίον οργανισμών στις Ηνωμένες Πολιτείες, την Ευρώπη και τη Μέση Ανατολή μετά τις κοινές επιθέσεις ΗΠΑ-Ισραήλ στο Ιράν τον Φεβρουάριο του 2026. Η ομάδα στόχευσε εταιρείες στις βιομηχανίες αεροπορίας και λογισμικού χρησιμοποιώντας ολοένα και πιο εξελιγμένες τεχνικές εισβολής και μεθόδους παράδοσης κακόβουλου λογισμικού.

Οι ερευνητές ασφαλείας εντόπισαν αρκετές λειτουργικές αλλαγές που διακρίνουν τις τελευταίες καμπάνιες από την προηγούμενη δραστηριότητα. Αυτές περιλαμβάνουν την εισαγωγή ενός νέου backdoor που ονομάζεται MiniFast, την εκτεταμένη χρήση της αεροπειρατείας AppDomain και μια στρατηγική στροφή προς το SEO poisoning για τη μόλυνση των θυμάτων μέσω ψεύτικων πυλών λήψης λογισμικού. Οι αναλυτές ανακάλυψαν επίσης ενδείξεις που υποδηλώνουν ότι η ανάπτυξη με τη βοήθεια τεχνητής νοημοσύνης μπορεί να έχει επιταχύνει τη δημιουργία του κακόβουλου λογισμικού.

Από ψεύτικες προσφορές εργασίας έως χειραγώγηση μηχανών αναζήτησης

Η Nimbus Manticore έχει ιστορικά επικεντρωθεί σε στόχους άμυνας, αεροπορίας και τηλεπικοινωνιών μέσω καμπανιών ηλεκτρονικού "ψαρέματος" (phishing) με θέμα την καριέρα, που συνήθως αναφέρονται ως επιχειρήσεις "Iranian Dream Job". Οι τακτικές μοιάζουν πολύ με την Επιχείρηση Dream Job, μια μακροχρόνια εκστρατεία κοινωνικής μηχανικής που σχετίζεται με βορειοκορεάτες απειλητικούς παράγοντες.

Μεταξύ Φεβρουαρίου και Απριλίου 2026, η ομάδα εκτέλεσε τρία ξεχωριστά κύματα εκστρατείας χωρίς διακοπή, επιδεικνύοντας έναν επιθετικό επιχειρησιακό ρυθμό κατά τη διάρκεια της περιφερειακής σύγκρουσης.

Τον Φεβρουάριο του 2026, υπάλληλοι σε οργανισμούς αεροπορίας και λογισμικού στη Σαουδική Αραβία και την Αυστραλία έλαβαν δόλιες προσφορές εργασίας που περιείχαν αρχεία ZIP που φιλοξενούνταν στο OnlyOffice. Το άνοιγμα ενός κακόβουλου εκτελέσιμου αρχείου μέσα στο αρχείο πυροδότησε την παραβίαση του AppDomain, η οποία τελικά ανέπτυξε το DLL κακόβουλου λογισμικού MiniJunk.

Τον Μάρτιο του 2026, ο απειλητικός παράγοντας υιοθέτησε μια παρόμοια αλυσίδα μόλυνσης, αλλά ενσωμάτωσε στη διαδικασία ένα πρόγραμμα εγκατάστασης Zoom που είχε μολυνθεί με trojan. Το κακόβουλο λογισμικό πιθανότατα διανεμήθηκε μέσω ψεύτικων προσκλήσεων σε συναντήσεις και τελικά εγκατέστησε το πρόσφατα εντοπισμένο backdoor MiniFast.

Τον Απρίλιο του 2026, η Nimbus Manticore εισήγαγε μια εντελώς διαφορετική στρατηγική, αναπτύσσοντας τεχνικές SEO poisoning. Οι χειριστές δημιούργησαν μια πλαστή σελίδα λήψης που παρίστανε τον Oracle SQL Developer και χειραγώγησαν τις κατατάξεις στις μηχανές αναζήτησης στο Bing και το DuckDuckGo, καταχωρίζοντας πολλά υποστηρικτικά domains που είχαν σχεδιαστεί για να ενισχύσουν την προβολή του ιστότοπου.

Αυτό σηματοδότησε την πρώτη γνωστή περίπτωση κατά την οποία η ομάδα εγκατέλειψε το παραδοσιακό spearphishing υπέρ της διανομής κακόβουλου λογισμικού μέσω μηχανών αναζήτησης. Αντί να στοχεύουν άμεσα τα θύματα μέσω email, οι επιτιθέμενοι περίμεναν τους προγραμματιστές και το προσωπικό IT να αναζητήσουν λογισμικό που χρησιμοποιείται συνήθως στο διαδίκτυο πριν παραδώσουν μολυσμένα προγράμματα εγκατάστασης.

Το MiniFast Backdoor αποκαλύπτει αυξανόμενες τεχνικές δυνατότητες

Το MiniFast, γνωστό και ως MiniUpdate, αντιπροσωπεύει μια σημαντική εξέλιξη στο οπλοστάσιο κακόβουλου λογισμικού της Nimbus Manticore. Οι ερευνητές περιγράφουν το κακόβουλο λογισμικό ως ένα πλήρως εξοπλισμένο backdoor που έχει σχεδιαστεί για μόνιμη πρόσβαση, απομακρυσμένη εκτέλεση εντολών και μακροπρόθεσμες κατασκοπευτικές επιχειρήσεις.

Πριν εισέλθει στον βρόχο εντολών του, το κακόβουλο λογισμικό μεταδίδει βασικές πληροφορίες συστήματος στην υποδομή εντολών και ελέγχου του μέσω HTTP. Στη συνέχεια, ανακτά συνεχώς οδηγίες, ανεβάζει αποτελέσματα εκτέλεσης, απομακρύνει αρχεία και κατεβάζει πρόσθετα ωφέλιμα φορτία.

Το backdoor υποστηρίζει ένα ευρύ φάσμα δυνατοτήτων, όπως:

• Χειρισμός αρχείων και απαρίθμηση καταλόγων
• Καταχώριση διεργασιών και αναγκαστικός τερματισμός διεργασίας μέσω PID
• Απομακρυσμένη εκτέλεση εντολών μέσω cmd.exe
• Φόρτωση DLL και δημιουργία αρχείου ZIP
• Επιμονή μέσω προγραμματισμένων εργασιών
• Κλιμάκωση προνομίων χρησιμοποιώντας την εντολή 'runas'
• Ρυθμιζόμενα διαστήματα beacon με ρυθμιζόμενο jitter για τυχαιοποίηση των επικοινωνιών

Οι ερευνητές παρατήρησαν επίσης ενδείξεις ότι τα εργαλεία κωδικοποίησης με τη βοήθεια της τεχνητής νοημοσύνης μπορεί να έχουν συμβάλει στην ανάπτυξη του κακόβουλου λογισμικού. Τα στοιχεία περιλαμβάνουν ασυνήθιστα λεπτομερή χειρισμό σφαλμάτων, υπερβολική αμυντική λογική προγραμματισμού, επαναλαμβανόμενες συμβάσεις ονοματοδοσίας, εξαιρετικά λεπτομερή μηνύματα κατάστασης τύπου εντοπισμού σφαλμάτων και αρθρωτή δομή κώδικα, ασυνήθιστη για κακόβουλο λογισμικό αυτής της κλίμακας και πολυπλοκότητας.

Οι συγκρούσεις τροφοδότησαν ταχύτερες και ευρύτερες κυβερνοεπιχειρήσεις

Οι ειδικοί στον τομέα της κυβερνοασφάλειας πιστεύουν ότι οι εκστρατείες καταδεικνύουν μια σημαντική επιχειρησιακή εξέλιξη για την Nimbus Manticore. Αντί να επιβραδύνει κατά τη διάρκεια ενεργών γεωπολιτικών συγκρούσεων, η ομάδα επέκτεινε τόσο τον ρυθμό όσο και την πολυπλοκότητα των δραστηριοτήτων της.

Η ταχεία ανάπτυξη ενός νεοαποκτηθέντος backdoor εν μέσω συνεχιζόμενων επιχειρήσεων υποδηλώνει επιταχυνόμενους κύκλους ανάπτυξης κακόβουλου λογισμικού, οι οποίοι ενδεχομένως υποστηρίζονται από εργαλεία τεχνητής νοημοσύνης. Ταυτόχρονα, η μετάβαση από το στοχευμένο phishing (ψάρεμα μέσω ηλεκτρονικού "ψαρέματος") στο SEO poisoning αντικατοπτρίζει μια ευρύτερη φιλοδοξία που εκτείνεται πέρα από τις παραδοσιακές εισβολές που επικεντρώνονται στην κατασκοπεία στη Μέση Ανατολή.

Συνδυάζοντας επιχειρήσεις ηλεκτρονικού "ψαρέματος" (phishing), παραβίαση AppDomain, ανάπτυξη κακόβουλου λογισμικού με τη βοήθεια τεχνητής νοημοσύνης (AI) και χειραγώγηση μηχανών αναζήτησης σε πολλαπλά κύματα καμπάνιας, η Nimbus Manticore επέδειξε ένα εξαιρετικά προσαρμοστικό μοντέλο απειλής ικανό να εξελίσσεται ταχέως σε περιόδους γεωπολιτικής αστάθειας.