.png)
Sebuah kelompok peretas yang diduga disponsori negara Iran, dikenal dengan nama Nimbus Manticore, teridentifikasi memperluas jangkauan serangannya ke sejumlah negara di kawasan Timur Tengah dan Eropa. Temuan ini diungkap dalam analisis terbaru perusahaan keamanan siber asal Singapura, Group-IB, yang dipublikasikan pada 26 Agustus 2026 melalui peneliti Mansour Alhmoud dan Mohamed Emam.
Aktor Ancaman
Nimbus Manticore dikenal pula dengan sejumlah nama alias, di antaranya GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail, dan UNC1549. Kelompok ini disebut terafiliasi dengan Islamic Revolutionary Guard Corps (IRGC) dan memiliki keterkaitan dengan unit Tortoiseshell (juga dikenal sebagai Imperial Kitten atau Unyielding Wasp) yang berada di bawah kluster Charming Kitten, salah satu kelompok siber Iran yang telah lama dipantau oleh komunitas keamanan siber global.
Target: Sektor Pertahanan, Kedirgantaraan, hingga Militer
Berdasarkan laporan Group-IB, sasaran utama kelompok ini adalah sektor pertahanan, kedirgantaraan, penyedia layanan IT, dan militer. Infrastruktur serangan terbaru yang berhasil diidentifikasi menunjukkan indikasi perluasan target ke negara-negara di kawasan Timur Tengah dan Eropa.
Jalur Serangan: Tawaran Pekerjaan Palsu
Vektor penetrasi awal yang digunakan Nimbus Manticore adalah rekayasa sosial bertema tawaran pekerjaan, yang dikenal sebagai Dream Job campaign. Melalui modus ini, pelaku menjebak target agar mengunduh file yang disamarkan sebagai dokumen lowongan kerja, padahal berisi malware.
Alat dan Malware yang Ditemukan
Group-IB mengidentifikasi sejumlah perangkat baru yang digunakan dalam kampanye ini yaitu:
1. Reverse SSH Tunneling sebuah alat berbasis SSH yang menyamar sebagai Windows Terminal Server SDK API. Alat ini digunakan untuk membangun koneksi (reverse connection) ke infrastruktur milik pelaku pada alamat IP 172.86.98[.]113 melalui port 443.
2. Backdoor berbasis C++ yang serupa dengan TWOSTROKE sebuah program yang diimplant yang menyamar sebagai file DLL sistem wtsapi32.dll. Backdoor ini menghubungkan perangkat korban ke server C2 melalui HTTPS untuk kemudian di kendalikan, dan mampu mengeksekusi perintah seperti mengunggah/mengunduh file, menjalankan binary atau DLL, serta memodifikasi file pada sistem korban.
Taktik Penyamaran (Defense Evasion)
Nimbus Manticore diketahui menerapkan teknik penyamaran melalui DLL hijacking dan masquerading seperti:
- Alat Reverse SSH Tunneling dikamuflasekan sebagai Windows Terminal Server SDK API.
- Implant backdoor berbasis C++ disamarkan sebagai file DLL sistem legal, wtsapi32.dll.
Untuk komunikasi dengan server kendali, kelompok ini memanfaatkan enkripsi HTTPS melalui tiga server C2 yang sudah ditanam secara hard-coded (hard-coded C2 servers) guna menerima perintah dan menjalankan worker thread baru pada perangkat korban.
Kapabilitas Backdoor
Berdasarkan analisis terhadap perintah-perintah yang diterima dari server C2, backdoor milik Nimbus Manticore memiliki sejumlah kapabilitas:
- Upload dan mengunduh file.
- Eksekusi biner atau DLL secara arbitrer (sesuai perintah C2).
- Mengumpulkan informasi terkait perangkat/host korban.
- Enumerasi direktori.
- Menghapus file tertentu pada sistem yang dikendalikan
Analisis terbaru dari Group-IB ini memperkuat laporan yang sebelumnya dipublikasikan oleh Kaspersky, yang juga telah mengidentifikasi penggunaan backdoor NightLedger serta WebSocket tunneler BridgeHead dan ArcBridge oleh kelompok Nimbus Manticore. Kesesuaian temuan dari dua lembaga riset keamanan siber berbeda ini memperkuat validitas indikasi bahwa kelompok tersebut terus mengembangkan dan memperluas infrastruktur serangannya.
Benediktus Sava - Security Researcher
Sumber: Group-IB SecureList
