Nimbus Manticore nutzt NightLedger für Cyberangriffe

Die iranische, staatlich unterstützte Hackergruppe Nimbus Manticore, auch bekannt unter den Namen GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail und UNC1549, hat eine Reihe neuer Cyberangriffe durchgeführt. Diese Angriffe richten sich gegen verschiedene Organisationen in den Regionen Naher Osten, Afrika und Südasien. Die Gruppe nutzt dabei eine bislang nicht dokumentierte Windows-Backdoor mit dem Namen NightLedger. Die Angriffe beinhalten den Einsatz von zwei maßgeschneiderten WebSocket-Tunnelern, die es den Angreifern ermöglichen, sich unbemerkt in die Netzwerke der Opfer einzuschleusen. Diese Technik wird häufig verwendet, um Daten zu exfiltrieren oder um weitere Malware zu installieren.

genaue Funktionsweise von NightLedger und den Tunnelern ist derzeit noch nicht vollständig bekannt, jedoch deuten erste Analysen auf eine hohe Komplexität hin. Die Sicherheitsfirma, die die Angriffe untersucht hat, berichtet, dass die Angriffe in mehreren Wellen stattfanden und sich über mehrere Monate erstreckten. Die ersten Hinweise auf die Aktivitäten von Nimbus Manticore wurden bereits im ersten Quartal 2026 entdeckt. Die Gruppe hat sich in der Vergangenheit durch ihre gezielten Angriffe auf kritische Infrastrukturen und Regierungsstellen einen Namen gemacht. Ein besonderes Merkmal der Angriffe ist die Fähigkeit von NightLedger, Opfer-Systeme in geheime Relais umzuwandeln.

Dies ermöglicht es den Angreifern, ihre Aktivitäten zu verschleiern und die Überwachung durch Sicherheitsbehörden zu umgehen. Die Verwendung solcher Techniken ist ein Hinweis auf die fortschrittlichen Fähigkeiten der Gruppe und deren strategische Ausrichtung. Die betroffenen Organisationen sind vor allem in den Bereichen Energie, Telekommunikation und Regierungsdienste tätig. Experten warnen, dass die Angriffe nicht nur auf die unmittelbaren Ziele abzielen, sondern auch potenziell weitreichende Auswirkungen auf die nationale Sicherheit der betroffenen Länder haben könnten. Die Sicherheitsbehörden in den betroffenen Regionen haben bereits Maßnahmen ergriffen, um die Angriffe zu untersuchen und die Systeme zu sichern.

Die Entdeckung von NightLedger und den zugehörigen WebSocket-Tunnelern hat die Aufmerksamkeit der Cybersicherheitsgemeinschaft auf sich gezogen. Forscher arbeiten daran, die Hintergründe der Malware zu analysieren und mögliche Gegenmaßnahmen zu entwickeln. Die Komplexität der Angriffe deutet darauf hin, dass Nimbus Manticore über erhebliche Ressourcen und technisches Know-how verfügt. Die iranische Regierung hat sich bislang nicht zu den Vorwürfen geäußert. Experten vermuten jedoch, dass die Angriffe Teil einer größeren Strategie zur Informationsbeschaffung und Destabilisierung in der Region sind.

Aktivitäten von Nimbus Manticore könnten auch als Reaktion auf geopolitische Spannungen interpretiert werden, die in den letzten Jahren zugenommen haben. Die Sicherheitslücke, die durch NightLedger ausgenutzt wird, ist derzeit nicht öffentlich dokumentiert. Experten raten Organisationen, ihre Systeme regelmäßig zu aktualisieren und Sicherheitsprotokolle zu überprüfen, um sich gegen solche Angriffe zu wappnen. Die genaue Anzahl der betroffenen Systeme ist noch unklar, jedoch wird von einer signifikanten Anzahl an Kompromittierungen ausgegangen.

Die Cybersicherheitsfirma, die die Angriffe analysiert hat, plant, in den kommenden Wochen detaillierte technische Berichte zu veröffentlichen. Diese Berichte sollen weitere Informationen über die Funktionsweise von NightLedger und den WebSocket-Tunnelern enthalten. Die Veröffentlichung wird für den 15. August 2026 erwartet.