Nimbus Manticore olarak izlenen tehdit aktörü, Orta Doğu, Afrika ve Güney Asya’daki kurumları hedef alan yeni bir saldırı dalgasında, NightLedger adlı daha önce belgelenmemiş bir Windows arka kapısını ve BridgeHead ile ArcBridge isimli iki özel WebSocket tünelleyiciyi devreye aldı. Kaspersky’ye göre kampanyanın hedefleri arasında Mısır’daki yapılar, Ürdün ve Tanzanya’daki KOBİ ve kamu ağları, Pakistan’daki havacılık kuruluşları, Etiyopya’daki telekom şirketleri ile Burkina Faso’daki finans sektörü bulunuyor. Tehdit aktörü Nimbus Manticore, GalaxyGato, Mirage Kitten, Smoke Sandstorm, Subtle Snail ve UNC1549 adlarıyla da izleniyor.
Kaspersky araştırmacıları Omar Amin ve Vasily Berdnikov, kullanılan araç setinin NightLedger’ı keşif, komut yürütme, dosya işlemleri, süreç keşfi ve ekran görüntüsü alma için tasarlanmış yeni bir Windows arka kapısı olarak tanımladı. Aynı set içinde yer alan ArcBridge ve BridgeHead’in ise gizli ağ erişimi ve operatör kontrollü tünelleme amacıyla geliştirilen iki özel WebSocket tabanlı araç olduğu belirtildi.
Güvenlik araştırmacılarının incelemesine göre saldırıların ilk giriş yöntemi henüz netleşmiş değil. Ancak grubun, güvenilir marka ve işe alım platformu kılığındaki özel hazırlanmış iş fırsatı temalı oltalama içerikleri ile sahte video konferans sayfalarını kullandığı, kurbanları üçüncü taraf dosya paylaşım servislerinde barındırılan kötü amaçlı arşivlere yönlendirdiği biliniyor. Bu erişim yolunun ardından zararlı yükler, arka kapı ve tünelleme bileşenleriyle birlikte sisteme bırakılıyor.
NightLedger, DLL side-loading ile çalıştı
İlk erişim sağlandıktan sonra saldırganlar yüklerini, DLL side-loading tekniğiyle DLL olarak çalıştırılan NightLedger üzerinden sisteme yerleştiriyor. Zararlı yazılım HTTPS üzerinden harici bir sunucuyla iletişim kurarak komutları ayrıştırıyor ve yürütüyor; bu çalışma modeli, grubun geçmişte kullandığı TWOSTROKE arka kapısıyla benzerlik taşıyor. Araştırmacılar NightLedger’ın davranışını, uzaktaki komutları alıp işleyen ve gerektiğinde yanıt veren bir arka kapı olarak özetledi.
Kaspersky araştırmacılarının aktardığı teknik listeye göre NightLedger; kullanıcı ve sistem kimlik bilgilerini toplama, süreç çalıştırma, dizin listeleme, dosya indirme, ana makine ve ağ bilgisi toplama, dosya kopyalama veya silme, beacon aralığını güncelleme, ekran görüntüsü alma, DLL yükleme, süreç ya da iş parçacığı sonlandırma, dosya yükleme, mantıksal sürücüleri sayma, çalışan süreçleri listeleme ve C:\Windows\debug\NetSetup.log dosyasını süreç listesi çıktısıyla birlikte toplama gibi işlemleri destekliyor. Bu kayıt, alan birleşim sorunlarının giderilmesinde kullanılan tanılama dosyalarından biri olarak biliniyor.
NightLedger’ın komut listesindeki öğeler, saldırganın etki altında tuttuğu sistemde hem keşif yapabildiğini hem de dosya ve süreç yönetimi gerçekleştirebildiğini gösteriyor. Kaspersky, arka kapının harici sunucuyla HTTPS üzerinden haberleştiğini ve komutları uzaktan işlediğini vurguladı.
BridgeHead ve ArcBridge, trafiği gizli röleye çevirdi
Saldırı zincirinde yer alan ikinci zararlı aile BridgeHead oldu. “unbcl.dll” adıyla dağıtılan bu SOCKS5 tünel vekil yazılımı Mısır ve Pakistan’daki ortamlarda gözlendi ve işlevsel olarak MiniFast olarak da izlenen MiniUpdate ile Retrograde ile kısmi örtüşme gösteriyor. ArcBridge ise WebSocket tabanlı başka bir tünelleme aracı olarak nisan 2026’da Orta Doğu’daki hedeflere dönük etkinlikte ortaya çıktı.
Araştırmacılar BridgeHead hakkında, C2 sunucusunun tüm tünel bağlantılarını WebSocket üzerinden gönderdiği ikili komutlarla başlattığını belirtti. Yerleştirilen bileşen ise yalnızca sunucunun belirlediği hedeflerle WebSocket kanalı arasında trafiği aktarıyor. Bu nedenle araç, sunucu tarafında çalıştırılan işlemlerden doğan TCP trafiğini kurban makinesi üzerinden yönlendiren bir röle düğümü gibi davranıyor.
BridgeHead ve ArcBridge’in kullanımı, grubun daha önce LIGHTRAIL ve POLLBLEND gibi özel tünelleyicilere dayanan yaklaşımı sürdürdüğünü gösteriyor. Kaspersky, bu araçların gizli ağ erişimi sağlamaya dönük operatör kontrollü tünelleme için kullanıldığını aktardı.
Tünelleme araçları savunma ekiplerinin de ağ içi bağlantıları ve anomali trafiğini test etmek için kullandığı çift kullanımlı teknolojiler arasında yer alıyor. Aynı mekanizma, meşru ağ yönetiminde bağlantıların analizinde kullanılabildiği gibi saldırganların gizli erişimi sürdürmesinde de iş görüyor.
Microsoft 365 takvimini komuta kanalına dönüştüren ayrı örnek
Aynı günlerde yayımlanan başka bir inceleme de Cavern ya da Cav3rn çerçevesiyle bağlantılı HOLLOWGRAPH adlı yeni bir zararlı örneğe işaret etti. Group-IB’nin analizine göre bu örnek, Cavern Manticore adıyla izlenen İran bağlantılı bir ekiple ilişkilendiriliyor.
Group-IB, HOLLOWGRAPH’ın Microsoft Graph API’yi kötüye kullanarak ele geçirilmiş bir Microsoft 365 takvimini gizli bir çift yönlü komuta ve kontrol kanalına çevirdiğini açıkladı. Operatörler görevleri takvim etkinliği olarak bırakıyor; yerleştirilen zararlı da çaldığı dosyaları kendi oluşturduğu, şifrelenmiş veri eklenmiş etkinlikler üzerinden dışarı taşıyor.
Şirketin aktardığına göre mailbox sahibinin dikkatini çekmemek için her etkinlik 13 Mayıs 2050 tarihine ayarlanıyor ve yükler dosya eki şeklinde saklanıyor. Group-IB, bu yöntemle takvimin, operatörlerin görev bıraktığı ve implantın veri dışarı aktardığı gizli bir iki yönlü bırakma noktası olarak kullanıldığını belirtti.
HOLLOWGRAPH bulgusu, Cavern çerçevesiyle bağlantılı etkinlikler arasında yer alıyor ve Microsoft 365 takviminin komuta kanalı olarak kullanılabildiğini gösteren başka bir örnek olarak rapora girdi. İnceleme, saldırganların bulut hizmetlerinin normal iş akışlarını doğrudan istismar eden yöntemlere yöneldiğini ortaya koydu.