Kaspersky schreibt die neue Angriffswelle der Gruppe Nimbus Manticore zu, die auch unter den Bezeichnungen GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail und UNC1549 verfolgt wird. Im Mittelpunkt stehen drei Werkzeuge: die neue Windows-Hintertür NightLedger sowie die beiden Tunnelkomponenten BridgeHead und ArcBridge.
NightLedger ist laut den Kaspersky-Forschern Omar Amin und Vasily Berdnikov für Aufklärung, Befehlsausführung, Dateioperationen, die Erkennung laufender Prozesse und das Anfertigen von Bildschirmaufnahmen ausgelegt. Die Schadsoftware werde als DLL per DLL-Seitenladen gestartet und kontaktiere anschließend über HTTPS einen externen Server, um Befehle auszuwerten und auszuführen. Kaspersky zieht dabei einen Vergleich zu TWOSTROKE, einer weiteren Hintertür, die die Gruppe bereits früher eingesetzt hat.
Wie die Angreifer zunächst in die betroffenen Umgebungen gelangen, ist nach Angaben von Kaspersky derzeit nicht bekannt. Bekannt sei jedoch, dass Nimbus Manticore stark zugeschnittene Phishing-Köder rund um Stellenangebote einsetzt, die sich als vertrauenswürdige Marken und Einstellungsplattformen ausgeben. Hinzu kommen täuschend echte Videokonferenz-Seiten, die Empfänger auf bösartige Archive umleiten, die bei externen Datei-Sharing-Diensten liegen.
BridgeHead, intern als „unbcl.dll“ bezeichnet, beschreibt Kaspersky als SOCKS5-Tunnelproxy. Beobachtet wurde das Werkzeug in Umgebungen in Ägypten und Pakistan. Funktional überschneidet es sich teilweise mit MiniFast, das auch als MiniUpdate und Retrograde bekannt ist. ArcBridge ist ein weiteres WebSocket-Tunnelwerkzeug; Kaspersky beobachtete es im April 2026 bei Aktivitäten gegen Opfer im Nahen Osten.
Besonders auffällig ist laut Kaspersky die Arbeitsweise von BridgeHead. Der Steuerungsserver initiiere sämtliche Tunnelverbindungen, indem er binäre Befehle über den WebSocket-Kanal sende; das Implantat leite den Verkehr lediglich zwischen den vom Server vorgegebenen Zielen und diesem Kanal weiter. Damit werde das kompromittierte System zu einem Relaisknoten: Die Angreifer führten ihre Werkzeuge serverseitig aus, während der gesamte entstehende TCP-Datenverkehr durch den Rechner des Opfers geleitet werde und so aus dessen Netzwerk zu stammen scheine.
Der Einsatz von BridgeHead und ArcBridge passt laut Kaspersky zu einem bereits bekannten Muster der Gruppe. Nimbus Manticore habe schon früher auf eigens entwickelte Tunnelwerkzeuge wie LIGHTRAIL und POLLBLEND gesetzt, um verdeckten Netzwerkzugang aufrechtzuerhalten.
Die Veröffentlichung folgt wenige Tage auf einen weiteren Bericht zu iranisch zugerechneten Aktivitäten. Group-IB hatte eine neue Malware-Probe mit dem Codenamen HOLLOWGRAPH beschrieben, die mit dem Framework Cavern in Verbindung stehe, das von der iranischen Hackergruppe Cavern Manticore genutzt werde. Nach Angaben von Group-IB missbraucht HOLLOWGRAPH die Microsoft Graph API, um den kompromittierten Kalender eines Microsoft-365-Postfachs in einen verdeckten bidirektionalen Kommando-und-Kontroll-Kanal zu verwandeln.
Dabei, so Group-IB, platzieren die Angreifer Aufgaben als Kalendereinträge, während das Implantat gestohlene Dateien ausschleust, indem es eigene Termine mit verschlüsselten Daten im Anhang erstellt. Um den Besitzer des Postfachs nicht aufmerksam zu machen, würden alle Ereignisse weit in die Zukunft datiert, auf den 13. Mai 2050.