Mobile-Menu

Backdoor MiniJunk und Stealer MiniBrowse Iranische Gruppe greift Verteidigungs- und Luftfahrtindustrie in Europa an

Quelle: Pressemitteilung 2 min Lesedauer

Anbieter zum Thema

Check Point Software Technologies GmbH
PresseBox - unn | UNITED NEWS NETWORK GmbH
Fsas Technologies GmbH
FTAPI Software GmbH

Die iranische Hackergruppe Nimbus Manticore erweitert ihre Angriffe nach Europa. Über gefälschte Karriereportale europäischer Verteidigungs- und Luftfahrtunternehmen verschaffen sich die Hacker Zugang zu Systemen und sensiblen Daten.

Plattformen wie „VirusTotal“ konnten die Schadsoftware „MiniJunk“ nicht erkennen. (Bild: Midjourney / Paula Breukel / KI-generiert)
Plattformen wie „VirusTotal“ konnten die Schadsoftware „MiniJunk“ nicht erkennen.
(Bild: Midjourney / Paula Breukel / KI-generiert)

Eine Analyse von Check Point zeigt: Die mit dem iranischen Staat verbundene APT-Gruppe „Nimbus Manticore“ richtet ihre Aktivitäten zunehmend auf Europa. Im Fokus stehen Unter­nehmen der Luft- und Raumfahrt, der Verteidigungsindustrie sowie der Telekommunikation in Dänemark, Schweden und Portugal.

Nimbus Manticore ist seit Jahren aktiv, bislang vor allem im Nahen Osten. Laut Check Point setzt die Gruppe unter anderem eine neu entwickelte Backdoor namens „MiniJunk“ ein. Sie nutzt undokumentierte DLL-Sideloading-Techniken, bei denen Windows-Dynamic-Link-Library-Datein missbraucht werden, um eine mehrstufige Infektionskette aufzubauen. Ergänzt wird dies durch den Stealer „MiniBrowse“, der Anmeldedaten aus Browsern wie Chrome und Edge abgreift und an über Azure-Infrastruktur betriebene C2-Server (Command and Control) über­mittelt.

Wie geht die Hackergruppe vor?

Für den Erstkontakt nutzt Nimbus Manticore Spear-Phishing-Kampagnen. Dabei kommen gefälschte Karrierewebseiten zum Einsatz, die sich als Portale von Unternehmen wie Airbus, Boeing oder Rheinmetall ausgeben. Die Betroffenen erhalten dabei individuelle Zugangsdaten. Dadurch erscheint die Täuschung besonders glaubwürdig.

Die Webseiten sind glaubwürdig gestaltet. Nach Anmeldung erhalten Opfer einen Downloadlink, über den ein Malware‑Archiv auf den Rechner geladen wird.(Bild: Check Point Software Technologies Ltd)
Die Webseiten sind glaubwürdig gestaltet. Nach Anmeldung erhalten Opfer einen Downloadlink, über den ein Malware‑Archiv auf den Rechner geladen wird.
(Bild: Check Point Software Technologies Ltd)

Die Schadsoftware ist auf der Compiler-Ebene mit Verschleierungsmethoden wie LLVM-Obfuskation (Low Level Virtual Machine), Junk-Code-Einfügungen und individuellen String-Verschlüsselungen versehen. Die Maßnahmen erschweren statische Analysen und die Erkennung durch Endpunkt-Sicherheitslösungen. Teilweise konnten gängige Plattformen wie „VirusTotal“ die Proben nicht erkennen.

Check Point stellt fest: Der Angriffsweg konnte von gängigen Diensten, wie „VirusTotal“, nicht immer erkannt werden. Die staatlich unterstützten Angriffer nutzen außerdem kommerzielle Clouddienste.(Bild: Check Point Software Technologies Ltd.)
Check Point stellt fest: Der Angriffsweg konnte von gängigen Diensten, wie „VirusTotal“, nicht immer erkannt werden. Die staatlich unterstützten Angriffer nutzen außerdem kommerzielle Clouddienste.
(Bild: Check Point Software Technologies Ltd.)

Die Hackergruppe nutzt für ihre Backdoor Clouddienste wie „Azure App Service“ und „Cloudflare“. Durch diese Infrastrukturen sind die Angriffe laut Check Point schwerer nach­zuvollziehen und widerstandsfähiger. Generell beobachte Check Point, dass staatlich unterstützte Angreifer vermehrt kommerzielle Dienste für ihre Cyberangriffe einsetzen würden.

Ist Europa nun im Fokus von Nimbus Manticore?

Nimbus Manticore richtet seine Angriffe zunehmend auf Westeuropa aus. Check Point sieht darin eine gezielte Ausweitung im Einklang mit den Interessen der iranischen Revolutionsgarde (IRGC). Besonders betroffen sind sicherheitsrelevante Branchen wie Verteidigung, Luftfahrt und Telekommunikation, darunter auch deutsche Unternehmen wie Rheinmetall. Laut dem Check Point-Reports können sich Organisationen mit mehrstufigen Sicherheitsstrategien schützen, die Phishing-Versuche abwehren, Endgeräte absichern und verdächtigen Datenverkehr am Netzwerkrand blockieren.

(ID:50576383)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte