サイバーセキュリティ調査会社のGroup‑IBは、本日公開したレポートで、イランのイスラム革命防衛隊に属するAPTグループNimbus Manticoreが新たなC++バックドアとリバースSSHトンネルツールを使用していることを明らかにした。

SSHトンネルツールはWindows Terminal Server SDK APIを装い、172.86.98[.]113 のインフラに443ポート経由で接続する。TWOSTROKE類似のバックドアはwtsapi32.dll を偽装し、固定のC2サーバーにHTTPSで接続してシステム情報収集、DLLのロード、ファイルのダウンロード・アップロード、コマンド実行などの機能を提供する。

同グループは2018年以降、防衛・航空・ITサービスプロバイダーを標的にし、Dream Jobキャンペーンで知られている。新たなインフラが中東と欧州に拡大し、ツールセットが継続的に進化していると指摘され、これらの動向を監視し防御策を更新する必要があると強調された。