Nach Erkenntnissen führt die iranische Gruppierung Nimbus Manticore (auch bekannt als Mirage Kitten, Smoke Sandstorm, UNC1549) eine Reihe von Cyberangriffen gegen Organisationen im Nahen Osten, in Afrika und Südasien durch und setzt dabei den bislang undokumentierten Backdoor NightLedger sowie zwei spezialisierte Tunneling-Werkzeuge — BridgeHead und ArcBridge — ein. Zu den mutmaßlichen Zielen zählen Behörden und kleine Unternehmen in Jordanien und Tansania, Luftfahrtorganisationen in Pakistan, Telekommunikationsunternehmen in Äthiopien sowie Finanzinstitute in Burkina Faso. Organisationen in den genannten Sektoren und Regionen sollten ihre Netze umgehend auf Kompromittierungsanzeichen prüfen, die mit diesem beschriebenen Toolset in Verbindung stehen.
Gruppenprofil und Taktik des Eindringens
Nimbus Manticore ist eine Gruppierung, die mit iranischen staatlichen Interessen in Verbindung gebracht wird. In verschiedenen Berichten von Forschungsteams tritt sie unter den Pseudonymen GalaxyGato, Subtle Snail und anderen auf. Laut dem Kaspersky-Bericht ist die genaue Methode des initialen Eindringens in der aktuellen Kampagne bislang nicht geklärt. Zuvor setzte die Gruppe jedoch zielgerichtete Phishing-Köder ein, die als Jobangebote bekannter Marken und Recruiting-Plattformen getarnt waren, sowie gefälschte Seiten für Videokonferenzen, die Opfer zu schädlichen Archiven auf externen Filehosting-Diensten umleiteten.
Technische Analyse des neuen Toolsets
Backdoor NightLedger
Das Kernelement der Kampagne ist der Backdoor NightLedger, der als DLL-Bibliothek unter Nutzung der Technik DLL side-loading eingeschleust wird. Nach der Ausführung baut die Malware über das Protokoll HTTPS eine Verbindung zu einem Command-and-Control-Server auf, um Befehle zu empfangen und auszuführen. Nach Angaben der Forscher entspricht seine Funktionalität weitgehend dem zuvor von der Gruppe eingesetzten Backdoor TWOSTROKE, was auf eine Weiterentwicklung des bestehenden Toolsets und nicht auf eine komplette Neuentwicklung hindeutet.
Der von NightLedger unterstützte Befehlssatz deckt das gesamte Spektrum typischer Cyber-Spionageaufgaben ab:
- Erfassung von Informationen zu Benutzerkonten und Host-Identität
- Start beliebiger Prozesse und Programme
- Überblick über das Dateisystem: Auflisten von Verzeichnissen und logischen Laufwerken, Kopieren und Löschen von Dateien
- Herunterladen von Dateien auf das kompromittierte System und Hochladen auf den C2-Server über HTTP POST
- Erfassen von Netzwerkinformationen zum Host
- Erstellen von Screenshots
- Nachladen zusätzlicher DLL-Module
- Beenden von Prozessen und Threads
- Steuerung des Intervalls für die Verbindungen zum C2-Server (beacon interval)
- Erfassung der Diagnosedatei
C:\Windows\debug\NetSetup.log— eines Protokolls, das zur Behebung von Problemen beim Beitritt zu einer Domäne verwendet wird, zusammen mit einer Liste der laufenden Prozesse
Letzterer Punkt verdient besondere Beachtung: Das gezielte Einsammeln der Datei NetSetup.log weist auf ein spezifisches Interesse an der Domäneninfrastruktur des Opfers hin — vermutlich, um weiteres laterales Bewegen im Netzwerk zu planen.
Tunneler BridgeHead und ArcBridge
Neben dem Backdoor kommen in der Kampagne zwei Tunneling-Werkzeuge auf Basis des WebSocket-Protokolls zum Einsatz. BridgeHead (Datei „unbcl.dll“) fungiert als SOCKS5-Proxy-Server und wurde den Berichten zufolge in Netzwerken von Organisationen in Ägypten und Pakistan entdeckt. Nach Einschätzung der Forscher weist er teilweise funktionale Ähnlichkeit mit dem bereits bekannten Tool MiniFast (auch MinUpdate, Retrograde) auf.
Die Architektur von BridgeHead ist bemerkenswert: Der C2-Server initiiert sämtliche Tunnelverbindungen, indem er binäre Befehle über WebSocket sendet; das Implantat leitet den Verkehr lediglich zwischen den vom Server angegebenen Zielen und dem WebSocket-Kanal weiter. Faktisch verwandelt sich die kompromittierte Maschine in einen Relay-Knoten: Der Operator startet seine Werkzeuge auf Serverseite, und der gesamte resultierende TCP-Verkehr läuft über den Rechner des Opfers und tarnt sich als legitimer Netzwerkverkehr der Organisation.
ArcBridge ist das zweite WebSocket-basierte Tunneling-Werkzeug, das nach Angaben von Kaspersky im April 2026 bei Angriffen auf Ziele im Nahen Osten beobachtet wurde.
Kontext und Evolution des Toolsets
Der Einsatz von BridgeHead und ArcBridge fügt sich in die anhaltende Tendenz der Gruppe ein, spezialisierte Tunneling-Utilities zu verwenden. Zuvor setzte Nimbus Manticore mutmaßlich ähnliche Tools wie LIGHTRAIL und POLLBLEND ein. Der Wechsel zum WebSocket-Protokoll als Transport für das Tunneling ist ein naheliegender Schritt: WebSocket-Verkehr lässt sich leicht als legitime Webverbindungen tarnen und passiert häufig ohne größere Hürden Unternehmens-Firewalls und Proxy-Server.
Die Verbindung von NightLedger zum bereits dokumentierten Backdoor TWOSTROKE und von BridgeHead zu MiniFast zeigt, dass die Gruppe ihre Werkzeuge nicht von Grund auf neu entwickelt, sondern bestehende Codebasen schrittweise modernisiert, was die Erkennung erschwert, während die bewährte Funktionalität erhalten bleibt.
Einschätzung der Auswirkungen
Die geografische und sektorale Spannweite der Kampagne — von Regierungsstellen bis hin zu Luftfahrt, Telekommunikation und Finanzsektor in sechs Ländern — deutet auf umfangreiche nachrichtendienstliche Zielsetzungen hin. Am stärksten gefährdet sind Organisationen in den genannten Regionen, insbesondere solche mit Verantwortung für kritische Infrastrukturen und der Verarbeitung vertraulicher Daten. Der Einsatz von DLL side-loading und HTTPS-Kommunikation erschwert die Entdeckung durch Standard-Sicherheitslösungen.
Empfehlungen zum Schutz
- Überwachung von DLL side-loading: Überwachen Sie das Laden ungewöhnlicher DLL-Bibliotheken durch legitime ausführbare Dateien, insbesondere aus nicht standardmäßigen Verzeichnissen.
- Analyse von WebSocket-Verkehr: Richten Sie Netzwerkanalyse-Werkzeuge so ein, dass sie anomale WebSocket-Verbindungen erkennen, insbesondere lang andauernde Sitzungen mit binärer Datenübertragung.
- Zugriffskontrolle für NetSetup.log: Aktivieren Sie die Protokollierung von Zugriffen auf die Datei
C:\Windows\debug\NetSetup.log— ihr Auslesen ist für gewöhnliche Benutzerprozesse untypisch. - Überprüfung von SOCKS5-Aktivität: Spüren Sie nicht autorisierte SOCKS5-Proxys im Netzwerk auf, insbesondere auf Workstations und Servern, auf denen eine solche Funktionalität nicht vorgesehen ist.
- Phishing-Sensibilisierung: Angesichts der Nutzung von Job-bezogenen Ködern durch die Gruppe sollte das Training der Mitarbeitenden zur Erkennung gezielter Phishing-Angriffe verstärkt werden, insbesondere im Zusammenhang mit Stellenangeboten und Einladungen zu Videokonferenzen.
- Netzwerksegmentierung: Begrenzen Sie die Möglichkeiten für laterale Bewegung, um den Schaden im Falle der Kompromittierung eines einzelnen Knotens zu minimieren.
Organisationen in den im genannten Sektoren und Regionen sollten eine retrospektive Analyse der Netzwerkaktivität durchführen, mit Schwerpunkt auf anomalen WebSocket-Verbindungen, ungewöhnlichem Laden von DLLs und nicht autorisiertem Zugriff auf Windows-Diagnosedateien. Da der initiale Vektor des Eindringens weiterhin unbekannt ist, hat die Härtung sämtlicher potenzieller Einstiegspunkte — von E-Mail bis hin zu externen Webservices — Priorität.
