De nouvelles observations de la part de chercheurs en cybersécurité mettent en lumière l’évolution des capacités opérationnelles derrière Nimbus Manticore. Dans une analyse récente, l’acteur d’espionnage est décrit comme l’un des groupes APT iraniens les plus actifs en 2026, avec un arsenal qui s’étend autant côté infrastructure que côté outils d’accès.
Au-delà de simples variantes, les découvertes rapportent l’apparition d’éléments non documentés auparavant : une utilitaire de tunneling basé sur SSH et une porte dérobée en C++ qui présente des similarités avec un backdoor déjà associé au même ensemble de menaces. L’objectif reste clair : maintenir un accès persistant et faciliter le contrôle à distance des machines compromises.
Un acteur iranien très actif et plusieurs noms
Nimbus Manticore, également suivi sous plusieurs appellations par différents acteurs de la recherche (dont GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail et UNC1549), est rattaché à une activité attribuée à un environnement étatique iranien. L’analyse précise que le groupe est affilié à l’IRGC (Islamic Revolutionary Guard Corps).
Les chercheurs indiquent aussi une connexion avec Tortoiseshell, lui-même associé à d’autres étiquettes (Imperial Kitten et Unyielding Wasp), qui fait partie d’un ensemble plus large dit Charming Kitten (Eclipsed Wasp). Cette taxonomie reflète la manière dont les équipes de recherche regroupent des infrastructures, des artefacts et des comportements observés.
Concernant la chronologie, Tortoiseshell est présenté comme actif depuis au moins juillet 2018. Les cibles mentionnées dans les analyses incluent notamment des organisations de la défense, de l’aérospatial, des prestataires IT ainsi que des entités militaires, principalement au Moyen-Orient et aux États-Unis.
Des objectifs qui s’élargissent entre Moyen-Orient et Europe
Dans cette nouvelle étude, Group-IB explique avoir repéré une infrastructure conséquente liée à Tortoiseshell, couvrant plusieurs zones géographiques, notamment l’Europe et le Moyen-Orient. Les chercheurs estiment que cette configuration peut traduire un profil de ciblage plus étendu, combinant des pays du Moyen-Orient avec des cibles européennes.
Les auteurs soulignent également que la présence d’outils et de mécanismes de contrôle continue d’évoluer. Autrement dit, il ne s’agirait pas uniquement d’une campagne isolée, mais d’un dispositif qui se renforce et s’adapte pour conserver un accès.
Cette approche s’inscrit dans un historique connu : Nimbus Manticore/Tortoiseshell aurait déjà orchestré des opérations de type Dream Job, où l’ingénierie sociale s’appuie sur des prétextes liés à des offres d’emploi. Ce type de leurre vise à faire exécuter des charges malveillantes par les victimes, souvent via des interactions humaines.
Un tunneling SSH nouvellement observé
Parmi les artefacts nouvellement identifiés, les chercheurs décrivent un outil de tunneling inverse basé sur SSH. Son fonctionnement vise à établir une connexion SSH vers l’infrastructure de l’opérateur, afin de renforcer la capacité de contrôle à distance.
Le rapport précise que l’outil prend l’apparence d’une API associée à Windows Terminal Server SDK. Derrière ce déguisement, l’objectif est de créer une liaison SSH vers une adresse identifiée comme étant celle de l’infrastructure de l’opérateur, via le port 443. L’utilisation de ce port peut contribuer à réduire les chances de détection, car il est généralement autorisé dans de nombreux environnements réseau.
En pratique, ce type de tunneling peut faciliter plusieurs scénarios : rediriger du trafic, conserver un canal de communication stable, et rendre plus complexe l’analyse côté défense, surtout lorsque la connectivité sortante ressemble à un trafic web standard.
Une porte dérobée C++ proche de TWOSTROKE
Le deuxième ensemble d’artefacts mentionné concerne une porte dérobée écrite en C++. L’analyse indique que cette implantation se recoupe avec un backdoor déjà décrit comme TWOSTROKE, également attribué à l’acteur en question.
Selon les éléments fournis, le backdoor cible des tâches typiques d’un outil de post-exploitation : collecte d’informations système, chargement de DLL, manipulation de fichiers et mise en place de mécanismes de persistance. L’implant réplique aussi un composant lié aux services de terminal Windows : elle imite wtsapi32.dll.
Pour établir la communication avec ses serveurs de commande et contrôle (C2), le malware utilise l’une des trois adresses C2 codées en dur. Il s’agit d’une communication via HTTPS, puis d’une attente de consignes.
Après réception d’une réponse du C2, l’implant extrait les instructions et crée un thread de travail afin de les exécuter. Les capacités décrites incluent notamment :
- télécharger et téléverser des fichiers,
- exécuter un binaire ou une DLL,
- rassembler des informations sur l’hôte,
- lister des répertoires,
- supprimer des fichiers ciblés.
Pourquoi ces nouveautés comptent pour la défense
Ces observations renforcent l’idée que Nimbus Manticore ne cesse d’ajuster son outillage. Le fait d’ajouter un tunneling SSH à une chaîne d’accès et de conserver un backdoor compatible avec des techniques déjà observées peut compliquer la détection, car les défenseurs font face à plusieurs canaux et plusieurs façons d’atteindre le même objectif : garder le contrôle.
Le rapport insiste sur un point : l’infrastructure et les outils évoluent conjointement. L’élargissement des zones géographiques suggérées (Moyen-Orient et Europe) et la poursuite du développement d’outils de type TWOSTROKE, combinés à des utilitaires de tunneling, illustrent un acteur qui adapte ses méthodes pour maintenir l’accès sur un nombre croissant de cibles.
Contexte : d’autres briques de persistance déjà observées
Ces résultats s’inscrivent dans la continuité d’analyses antérieures, notamment celles mentionnant l’usage d’un backdoor Windows baptisé NightLedger ainsi que de deux tunnelers WebSocket personnalisés : BridgeHead et ArcBridge. L’objectif de ces composants est présenté comme la capacité à conserver un accès persistant sur des hôtes compromis, dans des opérations visant des entités à travers le Moyen-Orient, l’Afrique et l’Asie du Sud.
En rapprochant ces éléments de ce qui est décrit ici, on observe une tendance : l’acteur multiplie les moyens de communication (SSH, WebSocket, HTTPS) et les charges utiles. Pour les équipes de sécurité, cela signifie que la détection ne peut pas se limiter à un seul type de trafic ou à un seul artefact.
Recommandations pratiques pour réduire le risque
Sans fournir de méthodes d’attaque, ces informations peuvent servir à orienter la posture défensive. Si vous gérez des environnements exposés à des menaces d’espionnage, voici des axes utiles à considérer :
- Surveiller les connexions sortantes inhabituelles, notamment vers des ports généralement associés à d’autres usages (comme 443), et prêter attention à des schémas qui ressemblent à du tunneling.
- Renforcer la détection des exécutions qui imitent des composants légitimes (par exemple des bibliothèques ou API liées aux services de terminal).
- Contrôler la persistance : surveiller les mécanismes de maintien d’accès, les créations de threads suspects et les comportements de téléchargement/téléversement.
- Mettre à jour l’analyse comportementale : si votre SIEM/EDR se limite à des signatures classiques, évaluez l’usage de règles basées sur les actions (collecte d’infos, manipulation de fichiers, exécution à distance).
Une défense efficace repose sur la combinaison de visibilité réseau et de télémétrie hôte, afin de couvrir à la fois les canaux de communication et les actions effectuées après compromission.
Conclusion
Les découvertes autour de Nimbus Manticore montrent un acteur qui enrichit son écosystème technique : apparition d’un outil de tunneling inverse SSH, présence d’une porte dérobée en C++ aux capacités de post-exploitation étendues, et maintien de mécanismes de communication sécurisés via des serveurs C2. Couplées aux informations sur une infrastructure couvrant plusieurs régions, ces nouveautés suggèrent un renforcement progressif du ciblage et de la persistance.
Pour les organisations, la priorité reste d’améliorer la détection des comportements de contrôle à distance et de persistance, en s’assurant que les systèmes surveillent à la fois le trafic réseau et les signaux d’exécution côté machines.
Source: https://thehackernews.com/2026/08/nimbus-manticore-expands-toolset-with.html
