根據網路安全公司 Group-IB 的最新分析，與伊朗伊斯蘭革命衛隊（IRGC）有聯繫的國家級駭客組織 Nimbus Manticore 正持續擴張其攻擊工具集與基礎設施。該組織在網路安全界也被稱為 GalaxyGato、Mirage Kitten 或 Smoke Sandstorm 等多個名稱，被評估為 2026 年最活躍的伊朗進階持續性威脅（APT, Advanced Persistent Threat）組織之一。APT 指的是由國家或大型組織支持，具有高度專業技術且能長期潛伏在目標系統中進行偵察或竊密的高級攻擊行為。
Nimbus Manticore 被認為與另一個名為 Tortoiseshell 的組織有密切關聯，而後者又是 Charming Kitten 駭客集群的一部分。這些組織自 2018 年起便十分活躍，主要攻擊目標集中在美國與中東地區的國防、航太、IT 服務提供商以及軍事組織。在攻擊手法上，他們經常利用社交工程（Social Engineering）手段，例如偽造虛假的就業機會（Dream Job campaign）來誘騙目標下載並執行惡意軟體，從而獲取初步的系統進入權限。
核心技術分析：新型後門與隧道工具
Group-IB 的研究發現，Nimbus Manticore 近期部署了兩款關鍵的惡意工具，旨在強化其在受害系統中的持續潛伏能力與遠端控制能力。
第一款工具是一款基於反向 SSH 隧道（Reverse SSH Tunneling）的工具。SSH 隧道是一種將網路流量封裝在加密 SSH 連線中的技術，通常用於安全地遠端管理伺服器。然而，駭客將其惡用為一種逃避偵測的手段，讓受感染的內部主機主動向外部的控制伺服器發起連線，從而繞過防火牆的入站限制。為了掩人耳目，該工具偽裝成 Windows Terminal Server SDK API（一個用於遠端桌面服務的系統元件），將流量導向特定的控制伺服器 IP 位址，並使用常見的 443 端口（通常為 HTTPS 流量），使其在網路監控中看起來像是一般的網頁瀏覽流量。
第二款工具則是一個使用 C++ 編寫的後門程式（Backdoor），其設計邏輯與該組織先前使用的 TWOSTROKE 植入物高度相似。後門程式是指一種允許攻擊者在未經授權的情況下，遠端繞過正常認證進入系統的秘密通道。該程式同樣採取偽裝策略，模仿 Windows 的系統動態連結庫 wtsapi32.dll。它會透過硬編碼在程式碼中的三個指令控制伺服器（C2, Command and Control）建立 HTTPS 連線。一旦接收到指令，後門會建立新的工作執行緒（Worker Thread）來執行任務，功能涵蓋下載或上傳檔案、執行二進位檔或 DLL 模組、收集主機系統資訊、列出目錄以及刪除特定檔案。
技術脈絡與擴展趨勢
此次發現的工具集並非孤立事件，而是該組織持續演進的結果。先前卡巴斯基（Kaspersky）的報告也指出，該組織曾使用名為 NightLedger 的 Windows 後門，以及兩款自定義的 WebSocket 隧道工具 BridgeHead 與 ArcBridge。WebSocket 是一種在單一 TCP 連線中提供全雙工通訊的協議，同樣被駭客用來建立穩定的遠端控制通道，以維持在受害主機上的持久化訪問權限。
從技術演進來看，Nimbus Manticore 的策略在於不斷更新其偽裝對象（如模仿系統 SDK 或 DLL）以及多樣化其通訊協議（從 SSH 到 WebSocket 再到 HTTPS）。這種做法能有效降低被端點偵測與回應（EDR）工具或網路入侵偵測系統（IDS）發現的機率。
實務影響與地理範圍擴張
Group-IB 的研究人員指出，此次發現的基礎設施分佈範圍已從原本的中東與美國，擴展到了歐洲地區。這顯示出該組織的攻擊目標概況正在擴大，其目標可能不再僅限於特定的地緣政治對手，而是將範圍延伸至更多具有戰略價值的歐洲國家。
對於企業與政府組織而言，這種威脅的危險之處在於其高度的隱蔽性與持久性。由於攻擊者使用了大量偽裝成合法系統元件的工具，且通訊流量隱藏在標準的加密端口中，傳統的簽章比對偵測法已不足以應對。防禦方必須採取行為分析，監控異常的對外連線行為，以及對系統關鍵 DLL 檔案的完整性進行定期校驗。
總結來說，Nimbus Manticore 透過不斷迭代其後門工具與隧道技術手段，展現出極強的適應力。其從單一的社交工程攻擊，演進到部署複雜的隧道工具與偽裝植入物，顯示出該組織旨在建立一個更廣泛且穩固的全球監控網路。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。