كشف باحثون في Group-IB عن بنية تحتية إضافية وبرمجيات خبيثة غير موثّقة سابقًا مرتبطة بمجموعة Nimbus Manticore، مجموعة التجسس السيبراني الإيرانية المدعومة من الدولة والمنتسبة إلى الحرس الثوري الإسلامي. وصفت الشركة السنغافورية المجموعة بأنها من أنشط مجموعات التهديد المتقدم الإيرانية في 2026، بحسب ما نقله The Hacker News.
من هي Nimbus Manticore؟
تُعرف المجموعة بأسماء عديدة بحسب الجهة المتتبِّعة: GalaxyGato وMirage Kitten وScreening Serpens وSmoke Sandstorm وSubtle Snail وUNC1549. وتُقدَّر صلتها بمجموعة Tortoiseshell (المعروفة أيضًا بـ Imperial Kitten وUnyielding Wasp)، وهي جزء من عنقود Charming Kitten الأوسع.
Tortoiseshell نشطة منذ يوليو 2018 على الأقل، وتستهدف أساسًا قطاعات الدفاع والفضاء ومزوّدي خدمات تقنية المعلومات والمنظمات العسكرية في الشرق الأوسط والولايات المتحدة. ولـ Nimbus Manticore تاريخ في تنظيم نسختها الخاصة من حملة «Dream Job» — هندسة اجتماعية بذريعة عروض عمل — وهو التكتيك الذي رأيناه في تقرير كاسبرسكي.
الاسم البديل | الجهة المتتبِّعة (على الأرجح) |
|---|---|
UNC1549 | Mandiant / Google |
Smoke Sandstorm | Microsoft |
Mirage Kitten / Imperial Kitten | CrowdStrike |
Subtle Snail | Check Point |
Screening Serpens | Palo Alto Unit 42 |
GalaxyGato | أخرى |
ما الجديد: بنية تحتية أوسع وأداتان
قالت Group-IB إنها كشفت بنية تحتية واسعة لـ Tortoiseshell تمتد عبر أوروبا والشرق الأوسط، إلى جانب أداة نفق قائمة على SSH وباب خلفي بلغة C++ يتقاطع مع TWOSTROKE — باب خلفي سبق نسبه إلى المجموعة.
«البنية التحتية المكتشفة لـ Tortoiseshell تشير محتملًا إلى ملف استهداف موسّع يركّز على دول الشرق الأوسط إلى جانب دول أوروبية.» — منصور الحمود ومحمد إمام، Group-IB
تبني هذه النتائج على تقرير حديث من كاسبرسكي فصّل استخدام المجموعة بابًا خلفيًا جديدًا لويندوز باسم NightLedger ونفقي WebSocket مخصصين (BridgeHead وArcBridge) للحفاظ على وصول دائم إلى المضيفين المخترقين في هجمات استهدفت كيانات في الشرق الأوسط وأفريقيا وجنوب آسيا.
1. نفق SSH عكسي يتنكّر في Windows Terminal Server SDK
الأداة الأولى أداة نفق SSH عكسي تنتحل واجهة برمجة Windows Terminal Server SDK، وتُنشئ اتصال SSH إلى بنية المشغّل على العنوان 172.86.98[.]113 عبر المنفذ 443. اختيار المنفذ ليس عشوائيًا: حركة خارجة على 443 تبدو كـ HTTPS عادي لأي جدار ناري لا يفحص البروتوكول فعليًا، والنفق العكسي يعني أن المضيف المخترق هو من يبادر بالاتصال — فلا حاجة لمنفذ مفتوح على جانب الضحية.
2. باب خلفي بلغة C++ شبيه بـ TWOSTROKE
العائلة الثانية باب خلفي يتقاطع مع TWOSTROKE، الغرسة المكتوبة بـ C++ التي تتيح جمع معلومات النظام وتحميل مكتبات DLL والتلاعب بالملفات والاستمرارية. يحاكي الباب الخلفي مكتبة Terminal Server SDK (wtsapi32.dll) ويستخدم أحد ثلاثة خوادم تحكّم مضمّنة لإنشاء اتصال HTTPS وانتظار التعليمات.
عند تلقّي رد من خادم التحكّم يستخرج منه الأمر ويُنشئ خيط عمل جديدًا لتنفيذه — تصميم يسمح بتنفيذ أوامر متعددة بالتوازي دون تعطيل حلقة الاتصال. الأوامر المدعومة:
- تنزيل الملفات ورفعها
- تنفيذ ملف تنفيذي أو مكتبة DLL
- جمع معلومات المضيف
- سرد المجلدات
- حذف ملفات محددة
مؤشرات الاختراق
| ipv4 | 172[.]86[.]98[[.]]113 | وجهة نفق SSH العكسي — المنفذ 443 |
| filename | wtsapi32.dll | اسم منتحَل للباب الخلفي الشبيه بـ TWOSTROKE (خارج System32) |
| other | Windows Terminal Server SDK API (منتحَل) | غطاء أداة النفق |
الروابط والعناوين معطَّلة (defanged) للحماية
*نشرت Group-IB مؤشرات إضافية (بصمات وعناوين خوادم التحكّم الثلاثة) في تقريرها الكامل؛ راجعه عبر رابط المصادر أدناه.*
فرص الكشف
- مكتبات نظام في أماكن خاطئة: نبّه على أي
wtsapi32.dllيُحمَّل من مسار غير%SystemRoot%\System32أوSysWOW64، وعلى أي ملف بهذا الاسم غير موقّع من مايكروسوفت. قاعدة Sysmon على Event ID 7 (Image Loaded) تكفي. - SSH حيث لا ينبغي أن يكون: اتصالات خارجة على المنفذ 443 تبدأ بمصافحة SSH (
SSH-2.0-في أول حزمة) بدل TLS ClientHello. أي جهاز فحص عميق أو Zeek يكشفها فورًا؛ جدران NAT البسيطة لا. - عمليات تنشئ خيوطًا لتنفيذ أوامر بعد استجابة HTTPS: نمط سلوكي يمكن لأدوات EDR رصده — عملية غير متصفح تُجري اتصالات HTTPS دورية ثم تُطلق
cmd.exeأو تحمّل DLL بعد كل استجابة. - اختطاف ترتيب البحث: راقب برامج موقّعة تحمّل DLL من مجلدها الخاص بدل مسارات النظام، خصوصًا في مجلدات المستخدم والمجلدات المؤقتة.
- الحملات التوظيفية: طُعم الدخول ما زال «عرض عمل» — درّب فرق الهندسة والدفاع والفضاء تحديدًا، فهي الأهداف التاريخية.
القراءة الاستراتيجية
ما يلفت في تقرير Group-IB ليس أداة بعينها، بل التراكم: خلال أشهر قليلة وثّقت ثلاث شركات (كاسبرسكي وGroup-IB وغيرهما) بابًا خلفيًا لويندوز، ونفقي WebSocket، ونفق SSH، وبابًا خلفيًا C++ جديدًا، وحصاني طروادة متعددي المنصات — كلها لمجموعة واحدة. هذا إيقاع تطوير مجموعة مموَّلة جيدًا ومكلَّفة بمهام مستمرة، لا فريقًا انتهازيًا.
«تحديد بنية تحتية تستهدف دول الشرق الأوسط وأوروبا، إلى جانب التطوير المستمر لأدوات مثل الباب الخلفي TWOSTROKE وأدوات النفق القائمة على SSH، يُظهر فاعل تهديد يطوّر ترسانته بثبات ويكيّف تقنياته للحفاظ على الوصول عبر عدد متزايد من الأهداف.» — Group-IB
التوسع نحو أوروبا مع الاحتفاظ بالتركيز على الشرق الأوسط يعني، للمؤسسات في منطقتنا، أن المجموعة لا تنسحب — بل تضيف. قطاعات الدفاع والطيران ومزوّدو الخدمات المُدارة (الذين يفتحون بابًا إلى عشرات العملاء دفعة واحدة) هم في مقدمة قائمة الاستهداف التاريخية، وينبغي أن يكونوا في مقدمة قائمة الاستعداد.
