MIDDLE EAST / LONDON (IT BOLTWISE) – Forschende ordnen neue Angriffe der Nimbus Manticore genannten, staatlich unterstützten Gruppe zu. Im Zentrum steht die Windows-Backdoor NightLedger, die zusammen mit zwei eigenen WebSocket-Tunneln den Zugriff dauerhaft tarnt. Statt direkten Zugriffen setzen die Angreifer zudem auf jobbezogene Phishing-Lures und täuschend echte Videokonferenz-Seiten, die zu schädlichen Archiven führen. Für Sicherheitsverantwortliche wird damit vor allem relevant, wie stark sich die Infrastruktur über HTTPS und getunnelten Netzwerkverkehr in den Zielumgebungen tarnt.
Die bei Kaspersky verorteten Aktivitäten der als Nimbus Manticore geführten Gruppe zeigen vor allem eines: Die Angreifer kombinieren Funktionsbausteine, die nicht nur Daten stehlen, sondern auch die Netzwerkpräsenz der eigenen Operatoren möglichst unauffällig in das Zielsystem verlagern. Laut der Zuordnung richten sich die Kampagnen auf Organisationen in Ägypten, in SMB- und Regierungsumgebungen in Jordanien sowie Tansania, auf Luftfahrtorganisationen in Pakistan, auf Telekommunikationsunternehmen in Äthiopien und auf Entitäten aus dem Finanzsektor in Burkina Faso. Technisch bedeutsam ist dabei, dass mit NightLedger eine bislang nicht dokumentierte Windows-Backdoor eingesetzt wird, die über mehrere Stufen und Schnittstellen arbeitet, statt sich auf einen einzigen Angriffsschritt zu verlassen.
NightLedger wird in der Berichterstattung als Toolset beschrieben, das typische Backdoor-Aufgaben abdeckt: Die Malware dient der Aufklärung (Benutzer- und Host-Identität), führt Prozesse bzw. Programme aus, unterstützt Dateiverwaltung (Dateien herunterladen, Verzeichnisse auflisten, kopieren oder löschen) und kann sowohl Logiklaufwerke enumerieren als auch laufende Prozesse erfassen. Ergänzend kommen Tätigkeiten hinzu, die besonders für persistente Bedienung im Feld relevant sind: Ein Screenshots-Modul, das Laden weiterer Module per DLL, sowie Steuerbefehle wie das Beenden von Prozessen oder Threads und das Aktualisieren von Beacon-Intervallen. Schon diese Funktionsbreite macht klar, warum solche Implantate in Enterprise-Umgebungen riskant bleiben: Sie reduzieren den Bedarf an weiterer Interaktion und machen Incident-Response schwerer, weil viele Aktivitäten wie legitime Admin-Prozeduren wirken können.
Der eigentliche Trick, der in der Beschreibung mehrfach betont wird, liegt in der Art der Befehlsausführung und der Einbindung zusätzlicher Tunneler. NightLedger soll zunächst als DLL via DLL side-loading gestartet werden, bevor sie über HTTPS eine externe Serverkommunikation aufbaut, um Befehle zu parsen und auszuführen. Diese Architektur ähnelt laut den Forschenden dem Muster, das zuvor bereits bei einer anderen Backdoor namens TWOSTROKE genutzt wurde: Die Kommunikation findet verschlüsselt statt, die Implantatlogik bleibt schlank, und die Operatoren steuern über serverseitige Kommandos. Für die reale Verteidigung heißt das: Netzwerk- und Proxy-Metriken allein reichen selten, wenn die Datenebene sauber verschlüsselt und nur die befehlsgesteuerte Logik intern sichtbar ist.
Zusätzlich setzt der Angriff auf zwei eigene WebSocket-basierte Tunnelmodule: ArcBridge und BridgeHead. BridgeHead wird als SOCKS5-Tunnelproxieschicht charakterisiert, beobachtet u. a. in Ägypten und Pakistan, und teilt funktionale Überschneidungen mit einer früher eingesetzten Familie, die ebenfalls als MiniFast (MiniUpdate/Rretrograde) auftaucht. Entscheidend ist jedoch die Transportidee: Laut den Forschenden initiiert der C2-Server sämtliche Tunnelverbindungen durch binäre Kommandos über WebSocket, während das Implantat die Daten zwischen Zieladressen und dem WebSocket-Kanal weiterleitet. Dadurch entsteht eine Relay-Node-Logik: Werkzeuge laufen serverseitig, aber sämtliche daraus resultierenden TCP-Ströme werden durch die Maschine des Opfers geleitet – als kämen sie direkt aus dem Netzwerk des Opfers. Genau diese Verschiebung ist für Netzwerksicherheitskontrollen problematisch, weil sie die Vertrauensannahmen vieler Monitoring-Setups ausnutzt.
Die anfängliche Kompromittierung bleibt derweil unklar. Beschrieben wird aber ein wiederkehrendes Muster im Social Engineering: Die Gruppe nutzt stark zugeschnittene Phishing-Lures mit Themen rund um „Job Opportunities“, die sich als bekannte Marken und etablierte Job-Plattformen ausgeben. Daneben kommen lookalike Seiten für Videokonferenzen zum Einsatz, die Empfänger zu bösartigen Archiven auf Drittanbieter-Dateidiensten umleiten. Für technische Teams ist damit weniger die konkrete Domain das Kernproblem, sondern die Kette aus Täuschungsseite, Archivlieferung und anschließender Ausführung über side-loading und Implantat-Startlogik. Gerade in Umgebungen, die zwar E-Mail filtern, aber Dateifreigaben oder Cloud-Downloadpfade weniger streng kontrollieren, ist diese Lücke häufig der Engpass.
Auch in den unterstützenden Details wird sichtbar, wie tief die Implantate operativ eingreifen. NightLedger kann beispielsweise ausdrücklich einen diagnoserelevanten Pfad auslesen: C: \Windows\debug\NetSetup.log, der als Troubleshooting-Datei bei Problemen rund um Domain-Join-Vorgänge dient. Zusammen mit Prozesslisten bietet das Hinweise darauf, in welchem Stadium ein System eingerichtete Verzeichnisdienste durchläuft oder ob Domänenbeitritte fehlgeschlagen sind – also Informationen, die für weitere Lateral-Moves oder zielgerichtete Feintuning-Schritte hilfreich sind. Dazu passt die Befehlsliste, die sowohl logische Laufwerke als auch Prozesse und DLL-Ressourcen adressiert; in Summe wirkt das wie ein voll bedienbares Operator-Interface, nicht wie ein reiner Einmal-Dropper.
Ergänzend ordnen die Forschenden die aktuellen Aktionen in eine breitere Entwicklung der Infrastruktur ein, weil ArcBridge ebenfalls als WebSocket-Tunnel im April 2026 bei Aktivitäten im Nahen Osten beschrieben wurde. Außerdem wird erwähnt, dass die Gruppe in der Vergangenheit auf bespoke Tunnel-Utilities setzte, darunter LIGHTRAIL und POLLBLEND. Damit deutet sich eine wiederkehrende Strategie an: Die Angreifer investieren in Transport- und Relay-Komponenten, die sich leicht an Netzwerk- und Überwachungsbedingungen anpassen lassen. Gleichzeitig liefert die zeitnahe Kontextinformation rund um eine weitere Malware namens HOLLOWGRAPH eine zweite Ausprägung derselben Denkweise: Hier wird Microsoft Graph API missbraucht, um einen kompromittierten Microsoft 365 Kalender als bidirektionalen toten Briefkasten (dead-drop) zu verwenden.
Bei HOLLOWGRAPH beschreiben die Angaben, dass Operatoren Aufgaben als Kalenderereignisse platzieren und das Implantat Dateien exfiltriert, indem es eigene Ereignisse mit verschlüsselten Daten im Anhang erstellt. Um die Aufmerksamkeit des Mailbox-Inhabers zu minimieren, werden die Ereignisse dabei weit in die Zukunft datiert, etwa auf den 13. Mai 2050. Für Unternehmen folgt daraus eine doppelte Konsequenz: Erstens müssen Sicherheitsmaßnahmen nicht nur bei klassischen C2-Domains und typischen Malware-Artefakten ansetzen, sondern auch bei ungewöhnlichen Mustern im Kommunikations- und Kollaborationskontext (Graph-basierte API-Nutzung, auffällige Kalenderänderungen, ungewöhnliche Event-Timestamps). Zweitens wird das Thema „Verdeckter Tunnel“ dadurch noch breiter: Es reicht nicht mehr, nur die Endpunkt-Infektion zu untersuchen; oft liegt die eigentliche Stealth-Mechanik in der Kommunikationslogik und im Datenfluss, der sich in legitimen Unternehmenskanälen tarnt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NightLedger & WebSocket-Tunnel: Nimbus Manticore macht Opfer-Systeme zu verdeckten Relays" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NightLedger & WebSocket-Tunnel: Nimbus Manticore macht Opfer-Systeme zu verdeckten Relays" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NightLedger & WebSocket-Tunnel: Nimbus Manticore macht Opfer-Systeme zu verdeckten Relays« bei Google Deutschland suchen, bei Bing oder Google News!