Le groupe iranien Nimbus Manticore étoffe son arsenal avec une nouvelle porte dérobée et un tunnelier SSH

Nimbus Manticore n'est pas un nom nouveau dans la littérature sur les menaces persistantes avancées. Connu aussi sous les alias GalaxyGato et Mirage Kitten, ce groupe lié aux Gardiens de la révolution islamique compte parmi les acteurs iraniens les plus actifs suivis actuellement par les chercheurs en sécurité.

Sa dernière évolution documentée combine deux nouveautés techniques: une porte dérobée s'inspirant fortement de son implant existant TWOSTROKE, écrite en C++, et un utilitaire de tunneling SSH permettant de faire transiter du trafic malveillant à travers des connexions apparemment légitimes. Cette combinaison sert un objectif précis, maintenir un accès persistant tout en limitant la détection par les outils de surveillance réseau classiques, qui peinent à distinguer un tunnel SSH malveillant d'un usage administratif ordinaire.

Le groupe avait déjà, en juillet, déployé un autre outil baptisé NightLedger, capable de transformer les systèmes des victimes en relais de communication discrets pour le reste de son infrastructure. Une autre variante, MiniFast, présente selon plusieurs chercheurs des signes de développement assisté par intelligence artificielle, un constat qui devient de plus en plus fréquent dans l'analyse des nouveaux implants découverts cette année, sans qu'il soit toujours possible de le prouver avec certitude technique.

Le ciblage géographique s'élargit lui aussi. Historiquement concentré sur les secteurs de la défense, de l'aérospatial et des télécommunications au Moyen-Orient, Nimbus Manticore a récemment été repéré en Europe, avec une infrastructure identifiée touchant plusieurs pays du continent en plus de ses cibles traditionnelles en Afrique et en Asie du Sud.

Pour une équipe de sécurité défensive, la difficulté avec ce type de groupe ne vient pas d'un manque d'information publique, les rapports techniques détaillés existent et circulent librement, mais du rythme d'évolution des outils. Une signature détectant TWOSTROKE ne détectera pas nécessairement sa variante récente, et c'est précisément ce que ce type d'itération rapide vise à obtenir.

Check Point Research, qui suit ce groupe depuis plusieurs années sous l'angle de ses opérations pendant le conflit iranien, note que la cadence de publication de nouveaux outils s'est nettement accélérée depuis le début de l'année, un signe généralement interprété comme la marque d'une équipe de développement dédiée plutôt que d'un groupe opérant avec des ressources limitées.

Les organisations des secteurs défense, aérospatial et télécommunications, en particulier en Europe où le groupe étend sa présence, ont intérêt à intégrer les indicateurs de compromission publiés ces dernières semaines plutôt que d'attendre une alerte sectorielle formelle, généralement plus lente à circuler que les rapports des chercheurs indépendants.

Pour les équipes de sécurité qui découvrent seulement maintenant ce groupe, l'ironie est que la littérature technique le concernant existe depuis plusieurs années côté israélien et américain: elle a simplement mis du temps à devenir une priorité opérationnelle pour des organisations qui ne se percevaient pas, jusqu'ici, comme des cibles naturelles de l'espionnage iranien.

D’après The Hacker News.