MiniFastバックドア

イラン革命防衛隊と関連があるとされる、イラン政府支援の脅威アクター「ニンバス・マンティコア」（別名「スクリーニング・サーペンス」および「UNC1549」）は、2026年2月の米イスラエルによるイランへの共同攻撃後、米国、欧州、中東の組織に対するサイバー攻撃を強化している。このグループは、高度化する侵入技術とマルウェア配信手法を用いて、航空業界とソフトウェア業界の企業を標的にしている。

セキュリティ研究者らは、最新の攻撃キャンペーンを以前の活動と区別するいくつかの運用上の変更点を特定した。これには、MiniFastと呼ばれる新しいバックドアの導入、AppDomainハイジャックの利用拡大、そして偽のソフトウェアダウンロードポータルを通じて被害者を感染させるためのSEOポイズニングへの戦略的な転換などが含まれる。アナリストらはまた、人工知能による開発支援がマルウェアの作成を加速させた可能性を示唆する兆候も発見した。

偽の求人情報から検索エンジンの操作まで

Nimbus Manticoreはこれまで、防衛、航空、通信分野を標的とし、キャリアをテーマにしたフィッシングキャンペーン（一般に「イランの夢の仕事」作戦と呼ばれる）を仕掛けてきた。その戦術は、北朝鮮の脅威アクターが長年行ってきたソーシャルエンジニアリング作戦「オペレーション・ドリームジョブ」と酷似している。

2026年2月から4月にかけて、同グループは3つの異なる作戦波を中断することなく実行し、地域紛争中に積極的な作戦ペースを示した。

2026年2月、サウジアラビアとオーストラリアの航空およびソフトウェア関連企業の従業員が、OnlyOfficeにホストされたZIPアーカイブを含む不正な求人情報を受け取った。アーカイブ内の無害な実行ファイルを開くと、AppDomainハイジャックが発生し、最終的にMiniJunkマルウェアDLLが展開された。

2026年3月、攻撃者は同様の感染経路を採用したが、その過程にトロイの木馬化されたZoomインストーラーを組み込んだ。このマルウェアは偽の会議招待状を通じて拡散され、最終的に新たに発見されたMiniFastバックドアをインストールしたと考えられる。

2026年4月、ニンバス・マンティコアはSEOポイズニング技術を用いることで、全く異なる戦略を導入した。運営者はOracle SQL Developerを装った偽のダウンロードページを作成し、サイトの認知度を高めるために多数の補助ドメインを登録することで、BingとDuckDuckGoの検索エンジンランキングを操作した。

これは、このグループが従来の標的型フィッシングを放棄し、検索エンジンを利用したマルウェア配布に切り替えた最初の事例となった。攻撃者は、電子メールで直接標的を狙うのではなく、開発者やIT担当者がオンラインでよく使われるソフトウェアを検索するのを待ち、感染したインストーラーを配布した。

MiniFastのバックドアが技術的能力の拡大を明らかに

MiniFast（別名MiniUpdate）は、Nimbus Manticoreのマルウェア群における大きな進歩を示すものです。研究者らは、このマルウェアを、永続的なアクセス、リモートコマンド実行、および長期的なスパイ活動のために設計された、多機能なバックドアであると説明しています。

マルウェアはコマンドループに入る前に、HTTP経由で基本的なシステム情報をコマンド＆コントロールインフラストラクチャに送信します。その後、命令を継続的に取得し、実行結果をアップロードし、ファイルを外部に送信し、追加のペイロードをダウンロードします。

バックドアは、以下のような幅広い機能をサポートしています。

• ファイル操作とディレクトリ列挙
• PIDによるプロセス一覧表示と強制プロセス終了
• cmd.exe を介したリモートコマンド実行
• DLLの読み込みとZIPアーカイブの作成
• 予定されたタスクを粘り強くこなす
• 「runas」コマンドを使用した権限昇格
• ビーコン間隔を調整可能、ジッターを構成可能で通信をランダム化

研究者らはまた、AI支援型コーディングツールがマルウェアの開発に貢献した可能性を示す兆候も確認した。その証拠としては、異常に冗長なエラー処理、過剰な防御的プログラミングロジック、反復的な命名規則、非常に詳細なデバッグスタイルのステータスメッセージ、そしてこの規模と複雑さのマルウェアとしては異例なモジュール式のコード構造などが挙げられる。

紛争がサイバー作戦の迅速化と拡大を加速させる

サイバーセキュリティ専門家らは、これらの攻撃キャンペーンはニンバス・マンティコアの作戦上の大きな進化を示していると考えている。同グループは、活発な地政学的紛争の最中であっても活動を減速させるどころか、活動のペースと高度化の両方を拡大させたのだ。

進行中の作戦の最中に新たに開発されたバックドアが迅速に展開されたことは、マルウェア開発サイクルの加速を示唆しており、人工知能ツールによって支援されている可能性もある。同時に、標的型フィッシングからSEOポイズニングへの移行は、中東における従来の諜報活動を中心とした侵入行為を超えた、より広範な野心を反映している。

Nimbus Manticoreは、フィッシング攻撃、AppDomainのハイジャック、AIを活用したマルウェア開発、検索エンジンの操作を複数のキャンペーン波にわたって組み合わせることで、地政学的に不安定な時期に急速に進化できる、高度に適応性の高い脅威モデルを実証した。