Nimbus Manticore dùng NightLedger và WebSocket tunnel để duy trì truy cập ẩn
"Nimbus Manticore, an Iranian state-backed threat group, is using a previously undocumented Windows backdoor called NightLedger along with custom WebSocket tunnelers BridgeHead and ArcBridge to maintain covert access and relay traffic through victim systems. The malware supports reconnaissance, file operations, screenshot capture, and tunneling over HTTPS/WebSocket, but no CVE is associated with this campaign; mitigation focuses on detecting phishing-delivered payloads, DLL side-loading, and anomalous outbound C2 traffic."
Chiến dịch tập trung vào duy trì truy cập ẩn và chuyển tiếp lưu lượng qua máy nạn nhân, làm tăng khả năng che giấu kênh điều khiển và mở rộng bề mặt hậu khai thác. Điểm đáng chú ý gồm DLL side-loading để khởi chạy mã độc, cùng với WebSocket tunneling để relay lưu lượng.
Tác động có thể gây gián đoạn vận hành và rủi ro rò rỉ dữ liệu do backdoor hỗ trợ thu thập thông tin, thao tác tệp và chụp màn hình. Đồng thời, việc dùng tunnel có thể làm tăng chi phí điều tra do lưu lượng bị chuyển tiếp qua hệ thống bị xâm nhập.
Nhóm tấn công được gắn với nhà nước Iran, thường được theo dõi với tên Nimbus Manticore (các tên gọi khác gồm GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail, UNC1549), được cho là đang triển khai các chiến dịch mới nhắm tới tổ chức tại Trung Đông, châu Phi và Nam Á. Theo báo cáo, mục tiêu bao gồm môi trường doanh nghiệp và chính phủ ở Ai Cập, Jordan, Tanzania, tổ chức hàng không ở Pakistan, nhà mạng ở Ethiopia và nhóm trong lĩnh vực tài chính ở Burkina Faso.
Thành phần chính gồm NightLedger (backdoor Windows chưa được ghi nhận trước đó) và hai công cụ WebSocket tunnelers là BridgeHead và ArcBridge nhằm duy trì truy cập kín đáo. NightLedger hỗ trợ trinh sát, thực thi lệnh, thao tác tệp, thu thập thông tin hệ thống/mạng, chụp màn hình và cơ chế chuyển tiếp lưu lượng qua kênh HTTPS/WebSocket. Mã độc được khởi chạy dưới dạng DLL side-loading. Kết nối điều khiển được mô tả là máy chủ C2 gửi lệnh nhị phân qua WebSocket, còn cài đặt chỉ chuyển tiếp lưu lượng giữa đích do máy chủ chỉ định và kênh WebSocket.
Về xâm nhập ban đầu, phương thức cụ thể chưa được xác định; kẻ tấn công được ghi nhận dùng phishing theo chủ đề cơ hội việc làm giả mạo thương hiệu tìn cậy và trang họp trực tuyến tương tự, dẫn nạn nhân tới kho lưu trữ độc hại trên dịch vụ chia sẻ tệp bên thứ ba. Khuyến nghị: tăng cường kiểm soát phishing, giám sát dấu hiệu DLL side-loading, và phát hiện lưu lượng C2 bất thường qua WebSocket/HTTPS.