MiniFast Backdoor

De Iraanse staatsgesteunde terreurgroep Nimbus Manticore, gelieerd aan de Islamitische Revolutionaire Garde en ook bekend onder de namen Screening Serpens en UNC1549, heeft na de gezamenlijke Amerikaans-Israëlische aanvallen op Iran in februari 2026 haar cyberaanvallen op organisaties in de Verenigde Staten, Europa en het Midden-Oosten geïntensiveerd. De groep richtte zich op bedrijven in de luchtvaart- en softwaresector met behulp van steeds geavanceerdere inbraaktechnieken en methoden voor het verspreiden van malware.

Beveiligingsonderzoekers hebben verschillende operationele veranderingen vastgesteld die de meest recente campagnes onderscheiden van eerdere activiteiten. Deze omvatten de introductie van een nieuwe backdoor genaamd MiniFast, het uitgebreidere gebruik van AppDomain-kaping en een strategische verschuiving naar SEO-vergiftiging om slachtoffers te infecteren via nep-softwaredownloadportalen. Analisten ontdekten ook aanwijzingen dat de ontwikkeling met behulp van kunstmatige intelligentie mogelijk de creatie van de malware heeft versneld.

Van nepvacatures tot manipulatie van zoekmachines

Nimbus Manticore heeft zich historisch gezien gericht op doelen in de defensie-, luchtvaart- en telecommunicatiesector via carrièregerichte phishingcampagnes die algemeen bekend staan als de 'Iraanse droombaan'-operaties. De tactieken lijken sterk op die van Operatie Droombaan, een langlopende social engineering-campagne die in verband wordt gebracht met Noord-Koreaanse cybercriminelen.

Tussen februari en april 2026 voerde de groep drie afzonderlijke campagnegolven zonder onderbreking uit, waarmee ze een agressief operationeel tempo tijdens het regionale conflict demonstreerde.

In februari 2026 ontvingen werknemers van luchtvaart- en softwarebedrijven in Saoedi-Arabië en Australië frauduleuze vacatures met ZIP-archieven die werden gehost op OnlyOffice. Het openen van een onschadelijk uitvoerbaar bestand in het archief leidde tot een AppDomain-kaping, waardoor uiteindelijk de MiniJunk-malware-DLL werd geïnstalleerd.

In maart 2026 gebruikte de aanvaller een vergelijkbare infectieketen, maar voegde daarbij een getrojaniseerd Zoom-installatieprogramma toe. De malware werd waarschijnlijk verspreid via nep-uitnodigingen voor vergaderingen en installeerde uiteindelijk de onlangs ontdekte MiniFast-achterdeur.

In april 2026 introduceerde Nimbus Manticore een compleet andere strategie door SEO-vergiftigingstechnieken in te zetten. De beheerders creëerden een nep-downloadpagina die zich voordeed als Oracle SQL Developer en manipuleerden de zoekmachineposities op Bing en DuckDuckGo door talloze ondersteunende domeinen te registreren die de zichtbaarheid van de site moesten vergroten.

Dit was het eerste bekende geval waarin de groep de traditionele spearphishing-methode verruilde voor de verspreiding van malware via zoekmachines. In plaats van slachtoffers rechtstreeks te benaderen met lokmails, wachtten de aanvallers tot ontwikkelaars en IT-personeel online naar veelgebruikte software zochten voordat ze geïnfecteerde installatieprogramma's verspreidden.

MiniFast-achterdeur onthult uitbreidende technische mogelijkheden

MiniFast, ook bekend als MiniUpdate, vertegenwoordigt een belangrijke vooruitgang in het malware-arsenaal van Nimbus Manticore. Onderzoekers beschrijven de malware als een volledig functionele backdoor, ontworpen voor permanente toegang, het uitvoeren van commando's op afstand en langdurige spionageoperaties.

Voordat de malware zijn commandoloop ingaat, verzendt hij via HTTP basisinformatie over het systeem naar zijn command-and-control-infrastructuur. Vervolgens haalt hij continu instructies op, uploadt hij uitvoeringsresultaten, exfiltreert hij bestanden en downloadt hij aanvullende payloads.

De backdoor biedt ondersteuning voor een breed scala aan mogelijkheden, waaronder:

• Bestandsmanipulatie en mapopsomming
• Proceslijst en geforceerde procesbeëindiging via PID
• Uitvoeren van opdrachten op afstand via cmd.exe
• DLL-laden en ZIP-archief aanmaken
• Volharding bij geplande taken
• Verhoging van bevoegdheden met behulp van het 'runas'-commando
• Instelbare bakenintervallen met configureerbare jitter voor het randomiseren van communicatie

Onderzoekers hebben ook aanwijzingen gevonden dat AI-ondersteunde codeertools mogelijk hebben bijgedragen aan de ontwikkeling van de malware. Bewijs hiervoor is onder andere ongebruikelijk uitgebreide foutafhandeling, overmatige defensieve programmeerlogica, repetitieve naamgeving, zeer gedetailleerde statusberichten in debugstijl en een modulaire codestructuur die ongebruikelijk is voor malware van deze omvang en complexiteit.

Conflict leidde tot snellere en omvangrijkere cyberoperaties.

Experts op het gebied van cyberbeveiliging zijn van mening dat de campagnes een aanzienlijke operationele evolutie voor Nimbus Manticore aantonen. In plaats van gas terug te nemen tijdens actieve geopolitieke conflicten, heeft de groep zowel het tempo als de complexiteit van haar activiteiten opgevoerd.

De snelle inzet van een nieuw ontwikkelde backdoor midden in lopende operaties wijst op versnelde malware-ontwikkelingscycli, mogelijk ondersteund door tools voor kunstmatige intelligentie. Tegelijkertijd weerspiegelt de overgang van gerichte phishing naar SEO-vergiftiging een bredere ambitie die verder reikt dan traditionele, op spionage gerichte inbraken in het Midden-Oosten.

Door phishingaanvallen, AppDomain-kaping, AI-ondersteunde malware-ontwikkeling en zoekmachinemanipulatie te combineren in meerdere campagnegolven, demonstreerde Nimbus Manticore een zeer adaptief dreigingsmodel dat in staat is zich snel aan te passen tijdens perioden van geopolitieke instabiliteit.