Nimbus Manticore: neue Tools mit SSH-Tunnel und Backdoor

Sicherheitsforscher haben Hinweise auf zusätzliche Infrastruktur und bislang nicht dokumentierte Schadsoftware im Umfeld von Nimbus Manticore identifiziert. Die Angriffe werden dem iranischen Akteursprofil zugeschrieben, das mit staatlich unterstützter Cyber-Spionage in Verbindung gebracht wird. Die neuesten Funde zeigen, dass das Toolset weiter wächst und sich sowohl technisch als auch taktisch anpasst.

Im Fokus stehen vor allem zwei neue Artefakte: ein Reverse-SSH-Tunneling-Tool sowie eine C++-Backdoor, die in Teilbereichen Ähnlichkeiten zu bereits bekannten Komponenten aufweist. Dadurch kann ein kompromittiertes System länger unter Kontrolle bleiben und lässt sich für weitere Schritte nachladen oder steuern.

Wer steckt hinter Nimbus Manticore?

Nach aktuellen Analysen gilt Nimbus Manticore als einer der aktivsten iranischen APT-Verbünde im Jahr 2026. Der Akteur wird mit mehreren Namen geführt, unter anderem als GalaxyGato, Mirage Kitten oder UNC1549. Zudem wird Nimbus Manticore mit dem Cluster Tortoiseshell in Verbindung gebracht, das wiederum Teil eines größeren Charming-Kitten-Umfelds sein soll.

Die Historie des Angreifers reicht dabei mindestens bis Juli 2018 zurück. Als Zielgruppen werden insbesondere Verteidigungs- und Luftfahrtorganisationen genannt, aber auch IT-Dienstleister sowie militärnahe Einrichtungen. Geografisch lagen Schwerpunkte offenbar vor allem im Nahen Osten, es werden jedoch auch Aktivitäten mit Bezug zu den USA beschrieben.

Erweiterte Infrastruktur in Europa und dem Nahen Osten

Group-IB berichtet, dass die neu untersuchten Spuren auf eine umfangreiche Tortoiseshell-Infrastruktur hindeuten. Diese erstreckt sich demnach sowohl über Europa als auch über den Nahen Osten. Laut den Forschern könnte das auf ein breiteres Zielprofil schließen: neben regionalen Schwerpunkten könnten künftig auch europäische Systeme stärker in den Fokus rücken.

Solche Ausweitungen sind für Incident-Responder besonders relevant, weil sie die Wahrscheinlichkeit erhöhen, dass Sicherheitslücken nicht nur in einzelnen Ländern, sondern in mehreren Umgebungen gleichzeitig ausgenutzt werden. Wer ohnehin Verbindungen, ungewöhnliche Netzwerkpfade oder verdächtige Prozessmuster beobachtet, hat damit zusätzliche Ansatzpunkte für die Suche nach kompromittierten Hosts.

SSH-Tunnel als neues Control-Element

Ein besonders auffälliges neu entdecktes Artefakt ist ein Reverse-SSH-Tunneling-Tool. Es tarnt sich dabei als API-Komponente aus der Windows-Umgebung: Das Tool gibt sich als Windows Terminal Server SDK API aus. Gleichzeitig baut es eine SSH-Verbindung zu der Infrastruktur der Angreifer auf.

Als Ziel wird dabei eine IP-Adresse genannt: 172.86.98[.]113. Die Verbindung erfolgt über den Port 443. Durch die Kombination aus SSH-Tunnel und HTTPS-ähnlicher Portwahl kann der Datenverkehr leichter in normale Netzwerkmuster eingepasst wirken, was die Detektion erschwert.

Backdoor mit Überschneidungen zu TWOSTROKE

Neben dem SSH-Tunneler identifizierten die Forscher eine zweite Malware-Familie, die inhaltlich und strukturell Überlappungen mit einer als TWOSTROKE bezeichneten Backdoor aufweist. Diese C++-Implantate sind darauf ausgelegt, Informationen über das System zu sammeln, dynamische Bibliotheken zu laden und Aktionen wie Dateimanipulation oder Persistenz durchzuführen.

Als Tarnmechanismus imitiert die neue Backdoor eine zentrale Windows-Komponente: sie nutzt bzw. spiegelt sich an der Terminal-Server-DLL wtsapi32.dll. Zusätzlich arbeitet die Software mit HTTPS-Kommunikation zu mehreren fest eingebetteten Command-and-Control (C2)-Zielen. Sobald eine Antwort vom C2-Server eingeht, extrahiert die Backdoor die bereitgestellten Befehle und erstellt einen Worker-Thread, um die Anweisungen auszuführen.

Die Befehle decken mehrere typische Post-Exploitation-Aufgaben ab, darunter das Herunterladen und Hochladen von Dateien, das Ausführen von Binärdateien oder DLLs, das Sammeln von Host-Informationen, das Auflisten von Verzeichnissen sowie das gezielte Löschen bestimmter Dateien.

So fügt sich das in frühere Kampagnen ein

Die neuen Erkenntnisse bauen auf bereits beschriebenen Ergebnissen auf. In einem zuvor veröffentlichen Bericht wurde unter anderem eine Windows-Backdoor namens NightLedger sowie zwei benutzerdefinierte WebSocket-Tunnelermodule genannt: BridgeHead und ArcBridge. Ziel dieser Bausteine war es, persistierenden Zugriff auf kompromittierte Systeme aufrechtzuerhalten.

Diese Aktivitäten werden insbesondere für Angriffe gegen Organisationen im Nahen Osten, in Teilen Afrikas sowie in Südasien eingeordnet. Damit ergibt sich ein Bild, in dem Nimbus Manticore nicht nur Werkzeuge nachlädt, sondern mehrere Kommunikations- und Tunnelwege parallel nutzt.

Warum die Entwicklung des Toolsets entscheidend ist

Die Forscher betonen, dass die Kombination aus weiterentwickelten Modulen wie der TWOSTROKE-Backdoor und den SSH-basierten Tunneling-Utilities auf eine kontinuierliche Weiterentwicklung hindeutet. Das Muster wirkt darauf ausgerichtet, den Zugriff auf wachsende Zielmengen abzusichern und gleichzeitig die Techniken zur Kontrolle infizierter Systeme anzupassen.

Für Organisationen bedeutet das: Wer nur nach einem einzelnen Schadcode-Muster sucht, kann ins Leere laufen, wenn Angreifer neue Gateways, Tunnel oder Tarnpfade nachschieben. Entscheidend sind deshalb nicht nur Signaturen, sondern auch Verhaltensindikatoren – etwa unerwartete Netzwerkverbindungen, ungewöhnliche DLL-/API-Nachbildungen oder das Auftreten von Komponenten, die sich als legitime Windows-Teile tarnt.

Praktische Orientierung für Verteidiger

Auch ohne detaillierte Exploit-Ketten lässt sich aus den neuen Funden ein defensiver Fokus ableiten. Achten Sie insbesondere auf:

• SSH-artigen Datenverkehr über unerwartete Pfade oder Portkombinationen (hier: Port 443).
• Verdächtige HTTPS-Verbindungen zu seltenen oder hardcodierten C2-Zielen.
• Imitationen von Windows-Komponenten im Zusammenhang mit Terminal-Server-bezogenen DLLs.
• Aktivitäten, die auf Datei-Uploads/-Downloads, Verzeichnislisten oder gezieltes Löschen schließen lassen.

Zusätzlich lohnt sich eine Überprüfung der zentralen Logs für die beteiligten Systeme, um festzustellen, ob die beobachteten Verbindungs- oder Ausführungssequenzen wiederholt auftreten. So können Teams schneller entscheiden, ob es sich um isolierte Tests oder um echte Kompromittierungen handelt.

Fazit

Nimbus Manticore zeigt sich in den aktuellen Analysen als anpassungsfähiger Akteur, der sein Toolset konsequent erweitert. Die neuen Hinweise auf eine Reverse-SSH-basierte Tunnelkomponente sowie eine Backdoor mit klaren Überschneidungen zu bereits bekannten Modulen verdeutlichen: Der Fokus liegt auf anhaltendem Zugriff, flexibler Steuerung und einer wachsenden geografischen Reichweite der Zielauswahl.

Für Verteidiger ist das ein Signal, die eigenen Detektions- und Suchstrategien über einzelne Malware-Namen hinaus breiter auszurichten – hin zu Kommunikationsmustern, Tarnmechanismen und typischen Post-Exploitation-Aktionen.

Quelle: https://thehackernews.com/2026/08/nimbus-manticore-expands-toolset-with.html