Tortoiseshell ist mindestens seit Juli 2018 aktiv und richtet sich vor allem gegen Rüstungs- und Luftfahrtunternehmen, IT-Dienstleister sowie militärische Organisationen im Nahen Osten und in den USA. Nimbus Manticore selbst hat eine Vorgeschichte mit einer eigenen Variante der sogenannten Dream-Job-Kampagne: Über Social Engineering mit vorgeblichen Jobangeboten wurde Schadsoftware ausgeliefert.
Eines der neu entdeckten Artefakte ist ein Werkzeug für Reverse-SSH-Tunneling. Es gibt sich als API des Windows Terminal Server SDK aus und baut eine SSH-Verbindung zur Infrastruktur der Betreiber unter der Adresse 172.86.98[.]113 auf Port 443 auf.
Die zweite Familie ist eine Backdoor mit Überschneidungen zu TWOSTROKE, einem C++-Implantat, das Systeminformationen sammelt, DLLs nachlädt, Dateien manipuliert und sich dauerhaft im System einnistet. Auch dieses Schadprogramm tarnt sich als DLL des Windows Terminal Server SDK (“wtsapi32.dll”). Für die Kommunikation nutzt es einen von drei fest einprogrammierten Command-and-Control-Servern und stellt dorthin eine HTTPS-Verbindung her, um auf Anweisungen zu warten.
Aus der Antwort des C2-Servers extrahiert die Backdoor den jeweiligen Befehl und startet für dessen Ausführung einen neuen Arbeitsthread. Der Befehlssatz erlaubt das Herunter- und Hochladen von Dateien, das Ausführen einer Binärdatei oder DLL, das Sammeln von Host-Informationen, das Auflisten von Verzeichnissen sowie das gezielte Löschen einzelner Dateien.
Die Group-IB-Analyse baut auf einem kürzlich veröffentlichten Bericht von Kaspersky auf. Dieser beschrieb eine neue Windows-Backdoor namens NightLedger sowie zwei maßgeschneiderte WebSocket-Tunneler mit den Bezeichnungen BridgeHead und ArcBridge. Ziel dieser Werkzeuge ist es, dauerhaften Zugriff auf kompromittierte Rechner zu behalten; die betreffenden Angriffe richteten sich gegen Einrichtungen im Nahen Osten, in Afrika und in Südasien.
“Die Identifizierung von Infrastruktur, die auf Länder im Nahen Osten und in Europa zielt, zeigt zusammen mit der fortlaufenden Weiterentwicklung von Werkzeugen wie der TWOSTROKE-Backdoor und den SSH-basierten Tunneling-Utilities einen Akteur, der seinen Werkzeugkasten stetig weiterentwickelt und seine Techniken anpasst, um den Zugang zu einer wachsenden Zahl von Zielen aufrechtzuerhalten”, schreibt Group-IB.