イラン系サイバー攻撃集団「Nimbus Manticore」が攻撃ツールを拡充、新バックドアやSSHトンネラーを展開

要点

• シンガポールのサイバーセキュリティ企業Group-IBが、イラン政府系攻撃グループ「Nimbus Manticore」による新たな攻撃ツールとインフラを確認した。

• Windowsの正規機能に偽装するリバースSSHトンネラーと、過去の「TWOSTROKE」に類似したC++製バックドアの2種類の未確認マルウェアが特定された。

• 攻撃インフラは中東から欧州へと拡大しており、同グループが標的地域を広げている可能性が浮上している。

• 最近のカスペルスキーによる報告とも整合し、標的組織への持続的な侵入維持に向けてツールを着実に進化させている実態が明らかになった。

• シンガポールのサイバーセキュリティ企業Group-IBは2026年8月26日、イランのイスラム革命防衛隊（IRGC）に関連するサイバー諜報グループ「Nimbus Manticore」が、新たなマルウェアと攻撃インフラを展開しているとする分析レポートを公開した。同社によると、Nimbus Manticoreは2026年に最も活発なイラン系脅威アクターの一つと評価されており、Windowsの正規機能に偽装したツール群を用いて活動を活発化させているという。

欧州・中東へ広がる攻撃インフラとグループの背景

Group-IBの研究者マンスール・アルハムード氏とモハメド・エマム氏によると、同グループに関連する広範な攻撃インフラがヨーロッパおよび中東全域で確認された。研究者らは、インフラの広がりから、同グループが従来の中東地域に加え、欧州諸国の組織へと標的を拡大させている可能性があると指摘している。

Nimbus Manticoreは、GalaxyGato、Mirage Kitten、Screening Serpens、Smoke Sandstorm、Subtle Snail、UNC1549などの別名を持つ高度持続的脅威（APT: 特定標的を長期間狙うサイバー攻撃組織）グループだ。「Tortoiseshell」（別名: Imperial Kitten、Unyielding Wasp）と結びついており、より広範な「Charming Kitten」（別名: Eclipsed Wasp）クラスタに属している。

Tortoiseshellは少なくとも2018年7月から活動しており、主に中東や米国の防衛、航空宇宙、ITサービス、軍事組織を標的としてきた。また、求人案内を装って標的を騙すソーシャルエンジニアリング（人間の心理的な隙を利用して騙す手口）攻撃「Dream Job」キャンペーンを独自に展開してきた経緯もある。

正規コンポーネントに偽装する2種類の新マルウェア

Group-IBが今回特定したのは、これまで未確認だった2種類のマルウェアだ。いずれもWindowsの正規システムになりすまし、セキュリティ検知を回避する設計となっていた。

1つ目のツールは、外部からの侵入経路を作るリバースSSHトンネリング（暗号化通信を用いて外部から内部への接続経路を確立する仕組み）ユーティリティだ。Windows Terminal Server SDKのAPIに偽装し、攻撃者が管理するIPアドレス「172.86.98[.]113」のポート443番宛てにSSH接続を確立する。

2つ目のツールは、過去に同グループへの帰属が確認された「TWOSTROKE」と機能的な共通点を持つC++製バックドア（遠隔操作用の不正プログラム）である。WindowsターミナルサーバーSDKの正規DLL（複数のプログラムで共有される部品ファイル）「wtsapi32.dll」に偽装し、内部に直接記述された3つのC2（指令サーバー: 感染端末を制御するサーバー）のうち1つとHTTPS通信を行って指示を待機する。

C2から指示を受信すると、コマンドを抽出して新たなワーカースレッド（メイン処理とは独立して並行処理を行う実行単位）を生成し、命令を実行する。このバックドアには以下の機能が備わっている。

• ホストシステム情報の収集および侵入状態の永続化（再起動後も侵入を維持する機能）
• 任意のバイナリやDLLファイルの実行
• ファイルの送受信（ダウンロードおよびアップロード）
• 特定ファイルの削除やディレクトリ一覧の取得

継続するツール開発と侵入維持の高度化

今回のGroup-IBによる発見は、セキュリティ企業カスペルスキー（Kaspersky）が最近報告した内容とも一致している。カスペルスキーは、同グループが新しいWindowsバックドア「NightLedger」や、独自開発のWebSocketトンネラー「BridgeHead」「ArcBridge」を使用し、中東、アフリカ、南アジアの組織に対する持続的なアクセスを維持している実態を明らかにしていた。

Group-IBは、中東や欧州を標的としたインフラの構築に加え、TWOSTROKE類似バックドアやSSHトンネラーの開発継続について、同グループが攻撃ツールを着実に進化させ、標的拡大に合わせて手法を適応させている明確な証拠であると総括している。