Zadné vrátka MiniFast

Iránsky štátom sponzorovaný aktér hrozby známy ako Nimbus Manticore, napojený na Zbor islamských revolučných gárd, sledovaný aj ako Screening Serpens a UNC1549, zintenzívnil svoje kybernetické kampane proti organizáciám v Spojených štátoch, Európe a na Blízkom východe po spoločných americko-izraelských útokoch na Irán vo februári 2026. Skupina sa zamerala na spoločnosti v leteckom a softvérovom priemysle pomocou čoraz sofistikovanejších techník narušenia a metód doručovania škodlivého softvéru.

Bezpečnostní výskumníci identifikovali niekoľko prevádzkových zmien, ktoré odlišujú najnovšie kampane od predchádzajúcich aktivít. Medzi ne patrí zavedenie nového zadného vrátka s názvom MiniFast, rozšírené používanie únosu domén aplikácií (AppDomain hijacking) a strategický prechod na SEO poisoning s cieľom infikovať obete prostredníctvom falošných portálov na sťahovanie softvéru. Analytici tiež objavili indikátory naznačujúce, že vývoj s pomocou umelej inteligencie mohol urýchliť vytvorenie malvéru.

Od falošných pracovných ponúk k manipulácii s vyhľadávačmi

Nimbus Manticore sa historicky zameriava na ciele v oblasti obrany, letectva a telekomunikácií prostredníctvom phishingových kampaní s tematikou kariéry, bežne označovaných ako operácie „Iranian Dream Job“. Taktika sa veľmi podobá operácii Dream Job, dlhodobej kampani sociálneho inžinierstva spojenej so severokórejskými aktérmi hrozby.

Medzi februárom a aprílom 2026 skupina bez prerušenia uskutočnila tri odlišné vlny kampane, čím preukázala agresívne operačné tempo počas regionálneho konfliktu.

Vo februári 2026 dostali zamestnanci leteckých a softvérových organizácií v Saudskej Arábii a Austrálii podvodné pracovné ponuky obsahujúce ZIP archívy hostované na OnlyOffice. Otvorenie neškodného spustiteľného súboru v archíve spustilo únos AppDomain, ktorý nakoniec nasadil malvérovú knižnicu DLL MiniJunk.

V marci 2026 útočník použil podobný infekčný reťazec, ale do procesu začlenil trójsky koňský inštalátor Zoomu. Malvér sa pravdepodobne šíril prostredníctvom falošných pozvánok na stretnutia a nakoniec nainštaloval novo identifikovaný zadný vrátnik MiniFast.

V apríli 2026 predstavila spoločnosť Nimbus Manticore úplne odlišnú stratégiu s využitím techník SEO poisoningu. Prevádzkovatelia vytvorili falošnú stránku na stiahnutie, ktorá sa vydávala za Oracle SQL Developer a manipulovala s poradím vo vyhľadávačoch Bing a DuckDuckGo registráciou množstva podporných domén určených na zvýšenie viditeľnosti stránky.

Toto znamenalo prvý známy prípad, v ktorom skupina opustila tradičný spearphishing v prospech distribúcie malvéru prostredníctvom vyhľadávačov. Namiesto priameho zacielenia na obete prostredníctvom e-mailových návnad útočníci čakali, kým vývojári a IT pracovníci vyhľadajú bežne používaný softvér online, a až potom im doručili infikované inštalačné súbory.

Backdoor MiniFast odhaľuje rozširujúce sa technické možnosti

MiniFast, tiež známy ako MiniUpdate, predstavuje významný pokrok v arzenáli malvéru Nimbus Manticore. Výskumníci opisujú malvér ako plne funkčné zadné vrátka určené pre trvalý prístup, vzdialené vykonávanie príkazov a dlhodobé špionážne operácie.

Pred vstupom do svojej príkazovej slučky malvér prenáša základné systémové informácie do svojej infraštruktúry velenia a riadenia cez HTTP. Potom priebežne načítava inštrukcie, nahráva výsledky vykonávania, extrahuje súbory a sťahuje ďalšie užitočné zaťaženie.

Zadné vrátka podporujú širokú škálu funkcií vrátane:

• Manipulácia so súbormi a enumerácia adresárov
• Výpis procesov a vynútené ukončenie procesov pomocou PID
• Vzdialené spustenie príkazov pomocou cmd.exe
• Načítanie DLL a vytvorenie ZIP archívu
• Vytrvalosť prostredníctvom naplánovaných úloh
• Zvýšenie privilégií pomocou príkazu „runas“
• Nastaviteľné intervaly signálov s konfigurovateľným jitterom pre náhodné usporiadanie komunikácie

Výskumníci tiež pozorovali náznaky, že k vývoju malvéru mohli prispieť nástroje na kódovanie s pomocou umelej inteligencie. Medzi dôkazy patrí nezvyčajne podrobné spracovanie chýb, nadmerná obranná programovacia logika, opakujúce sa konvencie pomenovávania, veľmi podrobné stavové správy v štýle ladenia a modulárne štruktúrovanie kódu, čo je pre malvér tohto rozsahu a zložitosti nezvyčajné.

Konflikt podnietil rýchlejšie a širšie kybernetické operácie

Odborníci na kybernetickú bezpečnosť sa domnievajú, že kampane demonštrujú významný operačný vývoj pre Nimbus Manticore. Namiesto spomalenia počas aktívneho geopolitického konfliktu skupina rozšírila tempo aj sofistikovanosť svojich aktivít.

Rýchle nasadenie novovyvinutého zadného vrátka uprostred prebiehajúcich operácií naznačuje zrýchlené cykly vývoja malvéru, potenciálne podporované nástrojmi umelej inteligencie. Zároveň prechod od cieleného phishingu k SEO poisoningu odráža širšiu ambíciu presahujúcu tradičné špionážne útoky na Blízkom východe.

Kombináciou phishingových operácií, únosu domén aplikácií, vývoja malvéru s pomocou umelej inteligencie a manipulácie s vyhľadávačmi v rámci viacerých vĺn kampane demonštrovala Nimbus Manticore vysoko adaptívny model hrozby schopný rýchleho vývoja počas období geopolitickej nestability.