گروه هکری نیمباس مانتیکور (Nimbus Manticore) که به ادعای کسپرسکی تحت حمایت دولت ایران فعالیت می‌کند و با نام‌های GalaxyGato، Mirage Kitten، Smoke Sandstorm، Subtle Snail و UNC1549 نیز شناخته می‌شود، در کمپینی جدید سازمان‌ها و نهادهایی را در خاورمیانه، آفریقا و جنوب آسیا هدف قرار داده است. در این کمپین بکدور NightLedger در کنار دو ابزار سفارشی تونل‌سازی مبتنی بر وب‌سوکت (WebSocket) با نام‌های BridgeHead و ArcBridge به کار گرفته شده‌اند تا دسترسی مخفیانه مهاجمان به سیستم‌های قربانی حفظ شود. بکدور NightLedger یک بدافزار جدید ویندوزی است که قابلیت‌هایی مانند جمع‌آوری اطلاعات، اجرای دستورات، عملیات روی فایل‌ها، شناسایی پردازه‌ها و تهیه اسکرین‌شات را در اختیار مهاجمان قرار می‌دهد. در همین حال، BridgeHead و ArcBridge برای ایجاد دسترسی مخفیانه به شبکه و برقراری تونل‌های تحت کنترل اپراتور به کار گرفته شده‌اند و امکان انتقال ترافیک از طریق سیستم‌های قربانی را فراهم می‌کنند. طبق گزارش کسپرسکی، اهداف این کمپین در مصر، محیط‌های کسب‌وکارهای کوچک و متوسط (SMB) و نهادهای دولتی در اردن و تانزانیا، سازمان‌های حوزه هوانوردی در پاکستان، شرکت‌های مخابراتی در اتیوپی و مجموعه‌های فعال در بخش مالی بورکینافاسو شناسایی شده‌اند.
مسیر نفوذ بکدور NightLedger همچنان نامشخص است
روش دقیق دسترسی اولیه در این حملات هنوز مشخص نشده است. با این حال، این عامل تهدید سابقه استفاده از فیشینگ‌های بسیار هدفمند با محوریت فرصت‌های شغلی را دارد. مهاجمان در این روش، پیام‌های فیشینگ را با جعل هویت برندهای معتبر و پلتفرم‌های کاریابی طراحی می‌کنند تا برای قربانیان قابل اعتماد به نظر برسند. صفحات جعلی و مشابه سرویس‌های ویدئوکنفرانس نیز برای هدایت کاربران به سمت آرشیوهای مخرب مورد استفاده قرار می‌گیرند.
این آرشیوهای مخرب روی سرویس‌های اشتراک‌گذاری فایل شخص ثالث میزبانی می‌شوند و برای انتقال پیلودهای مخرب به سیستم قربانی مورد استفاده قرار می‌گیرند. در ادامه، بکدور NightLedger در قالب یک فایل DLL و از طریق تکنیک DLL Side-Loading (بارگذاری جانبی DLL) اجرا می‌شود.
ارتباط بکدور NightLedger با سرور فرماندهی و کنترل
بکدور NightLedger برای ارتباط با یک سرور خارجی از پروتکل HTTPS استفاده می‌کند و قادر است دستورات دریافتی را پردازش کرده و روی سیستم قربانی اجرا کند. این سازوکار شباهت‌هایی به TWOSTROKE دارد که یکی دیگر از بکدورهای مورد استفاده این عامل تهدید در عملیات قبلی بوده است. دستورات پشتیبانی‌شده توسط NightLedger شامل موارد زیر است:
- جمع‌آوری اطلاعات هویتی کاربر و سیستم میزبان
- اجرای پردازه یا برنامه
- فهرست‌کردن دایرکتوری‌ها
- دانلود فایل روی سیستم آلوده
- جمع‌آوری اطلاعات سیستم میزبان و شبکه
- کپی یا حذف فایل‌ها
- تغییر بازه زمانی ارسال بیکن (Beacon Interval)
- تهیه اسکرین‌شات از سیستم قربانی
- بارگذاری فایل DLL
- خاتمه‌دادن به یک پردازه یا رشته اجرایی (Process/Thread)
- آپلود فایل به سرور فرماندهی و کنترل (C2) از طریق درخواست HTTP POST
- شناسایی درایوهای منطقی
- فهرست‌کردن پردازه‌ها
- جمع‌آوری فایل C:\Windows\debug\NetSetup.log به همراه خروجی فهرست پردازه‌ها
فایل NetSetup.log یک لاگ عیب‌یابی (Diagnostic Log) در ویندوز است که برای بررسی و رفع خطاهای مربوط به پیوستن سیستم به دامنه استفاده می‌شود. در این حملات، این فایل همراه با فهرست پردازه‌های سیستم جمع‌آوری می‌شود.
ابزارهای تونل‌سازی مهاجمان برای حفظ دسترسی مخفیانه
در کنار بکدور NightLedger، دو خانواده بدافزاری دیگر نیز روی سیستم‌های هدف شناسایی شده‌اند. یکی از آن‌ها BridgeHead با نام فایل unbcl.dll است که یک پروکسی تونل SOCKS5 محسوب می‌شود و در محیط‌هایی در مصر و پاکستان شناسایی شده است. این ابزار از نظر برخی قابلیت‌های عملکردی با MiniFast که با نام‌های MiniUpdate و Retrograde نیز شناخته می‌شود، همپوشانی دارد.
ابزار دیگر ArcBridge است که یک ابزار تونل‌سازی مبتنی بر وب‌سوکت محسوب می‌شود و پیش‌تر در آوریل 2026 در جریان فعالیت‌هایی علیه اهدافی در خاورمیانه مشاهده شده بود.
سرور فرماندهی و کنترل (C2) تمام ارتباطات تونلی BridgeHead را آغاز کرده و از طریق وب‌سوکت، دستورات باینری را برای ایمپلنت ارسال می‌کند. ایمپلنت نیز ترافیک را میان مقصد تعیین‌شده از سوی سرور و کانال وب‌سوکت منتقل می‌کند.
به این ترتیب، سیستم قربانی به یک نود رله (relay node) تبدیل می‌شود. اپراتور می‌تواند ابزارهای موردنظر خود را از سمت سرور اجرا کند و ترافیک TCP حاصل از آن‌ها را از طریق سیستم قربانی عبور دهد. در نتیجه، این ترافیک از دید مقصد می‌تواند به‌گونه‌ای ظاهر شود که گویی از شبکه قربانی منشأ گرفته است.
استفاده از BridgeHead و ArcBridge نشان می‌دهد این عامل تهدید همچنان به استفاده از ابزارهای تونل‌سازی سفارشی برای برقراری ارتباطات تونلی ادامه می‌دهد. این رویکرد پیش‌تر نیز در فعالیت‌های این گروه و با استفاده از تونل‌سازهای اختصاصی مانند LIGHTRAIL و POLLBLEND مشاهده شده است.
شناسایی بدافزار HOLLOWGRAPH و فریم‌ورک Cavern
انتشار این گزارش تنها چند روز پس از آن انجام شد که شرکت Group-IB از شناسایی نمونه بدافزاری جدیدی با نام HOLLOWGRAPH خبر داد. این بدافزار با فریم‌ورک Cavernکه با نام Cav3rn نیز شناخته می‌شود، ارتباط دارد؛ فریم‌ورکی که به گروه هکری موسوم به Cavern Manticore نسبت داده شده و طبق ادعاهای مطرح‌شده، این گروه با ایران ارتباط دارد.
HOLLOWGRAPH با سوءاستفاده از API مایکروسافت گراف (Microsoft Graph) تقویم یک حساب مایکروسافت 365 هک‌شده را به یک کانال مخفی و دوطرفه فرماندهی و کنترل تبدیل می‌کند.
در این روش، تقویم حساب هک‌شده به‌عنوان یک سازوکار تبادل مخفی دوطرفه یا به عبارتی دِد دراپ (Dead Drop) عمل می‌کند. اپراتورها دستورات و وظایف موردنظر خود را در قالب رویدادهای تقویم ثبت می‌کنند و ایمپلنت نیز برای استخراج فایل‌های سرقت‌شده، رویدادهای جدیدی ایجاد کرده و داده‌های رمزگذاری‌شده را به‌صورت فایل به آن‌ها پیوست می‌کند. برای پنهان‌ماندن این فعالیت‌ها از دید صاحب حساب، تاریخ تمام رویدادها روی 13 می 2050 تنظیم شده است. داده‌های موردنظر مهاجمان نیز در قالب فایل به رویدادهای تقویم پیوست می‌شوند.
استفاده از API مایکروسافت گراف در این روش نشان می‌دهد مهاجمان برای ایجاد کانال‌های C2 لزوماً به زیرساخت‌های اختصاصی و مشکوک متکی نیستند و می‌توانند از سرویس‌های قانونی و مورد اعتماد برای پنهان‌کردن ارتباطات خود استفاده کنند. این رویکرد شناسایی فعالیت‌های مخرب را برای تیم‌های امنیتی دشوارتر می‌کند، زیرا ترافیک مهاجم ممکن است در میان ارتباطات عادی سرویس‌های ابری پنهان شود.
