Grupo iraniano de APT Nimbus Manticore implanta nova backdoor e ferramentas de túnel
Nimbus Manticore, um grupo de hackers patrocinado pelo Estado iraniano, expandiu seu arsenal com novas capacidades de backdoor e túnel SSH. Pesquisadores de segurança alertam para aumento na atividade de espionagem direcionada a organizações globais.
TL;DR
- Nimbus Manticore ligado ao IRGC adiciona backdoor semelhante à TWOSTROKE e túnel SSH
- Group-IB identifica novo malware e infraestrutura utilizados em campanhas de 2026
- Alvos incluem setores governamental, defesa e infraestrutura crítica
- Ferramentas permitem acesso persistente e exfiltração sigilosa de dados
- Equipes de segurança devem monitorar tráfego SSH incomum e backdoors desconhecidos
A empresa de cibersegurança Group-IB descobriu novas ferramentas e infraestrutura vinculadas ao Nimbus Manticore, um grupo avançado de ameaças persistentes (APT) iraniano com ligações ao Corpo da Guarda Revolucionária Islâmica (IRGC). As descobertas destacam a evolução das táticas do grupo em operações globais de ciberespionagem ao longo de 2026.
O malware recentemente identificado inclui uma backdoor semelhante à TWOSTROKE e um utilitário de túnel SSH que permite aos atacantes manter acesso discreto e de longo prazo às redes comprometidas. Essas ferramentas aumentam a capacidade do grupo de realizar vigilância e extrair dados sensíveis de organizações-alvo.
Novo Arsenal de Malware
- Pesquisadores descobriram uma backdoor semelhante à TWOSTROKE usada para acesso inicial e execução de comandos
- Uma ferramenta de túnel SSH habilita canais de comunicação sigilosos e contorna defesas de rede
- Ambas as ferramentas são projetadas para evitar detecção por sistemas padrão de monitoramento de segurança
- O malware é normalmente implantado via spear-phishing ou aplicações web comprometidas
Impacto Operacional e Defesa
- Nimbus Manticore continua altamente ativo no direcionamento dos setores governamental e de defesa globalmente
- Organizações devem auditar configurações SSH e monitorar atividades anômalas de túnel
- Soluções de detecção e resposta em endpoint (EDR) devem ser atualizadas com novos IOCs
- Firewalls de aplicação web devem bloquear payloads suspeitos e conexões de saída não autorizadas
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.