Un nuovo rapporto pubblicato il 26 agosto 2026 segnala che Nimbus Manticore, gruppo di cyber spionaggio collegato all’Iran, ha ampliato la propria infrastruttura e il proprio arsenale con nuovi strumenti per mantenere accesso ai sistemi compromessi. Per un’azienda italiana il punto non è la geopolitica, ma il metodo: malware camuffati da componenti di Windows, connessioni cifrate su porta 443 e social engineering mirato rendono più difficile accorgersi di un’intrusione.
Cosa è emerso nel nuovo rapporto
Secondo l’analisi di Group-IB, Nimbus Manticore è tra i gruppi APT iraniani più attivi del 2026. I ricercatori hanno individuato infrastrutture aggiuntive e due famiglie di strumenti finora non documentate pubblicamente: un utility di tunneling SSH e una backdoor in C++ con caratteristiche simili a TWOSTROKE, malware già attribuito allo stesso attore.
Il gruppo è noto con diversi nomi nel settore della threat intelligence, tra cui GalaxyGato, Mirage Kitten, Screening Serpens, Smoke Sandstorm, Subtle Snail e UNC1549. Group-IB lo collega a Tortoiseshell, a sua volta inserito nel cluster Charming Kitten. Al di là delle etichette, il dato importante è la continuità operativa: non si tratta di una campagna isolata, ma di un attore che evolve strumenti e infrastrutture nel tempo.
La ricerca indica inoltre un’infrastruttura estesa tra Europa e Medio Oriente. Questo non significa che ogni azienda europea sia un bersaglio diretto, ma conferma che il raggio operativo non è limitato a un’unica area geografica e che il continente europeo rientra nel perimetro di interesse del gruppo.
Perché questi strumenti sono rilevanti anche fuori dai settori “sensibili”
Storicamente Tortoiseshell è stato associato ad attività contro difesa, aerospazio, fornitori di servizi IT e organizzazioni militari in Medio Oriente e negli Stati Uniti, con operazioni attive almeno dal luglio 2018. Tuttavia, la catena del rischio non si ferma ai target principali.
Quando un gruppo di spionaggio prende di mira grandi organizzazioni o filiere strategiche, spesso sfrutta anelli più deboli: fornitori, partner tecnologici, outsourcer, consulenti e società di servizi. Per questo anche una PMI italiana che non opera nella difesa può essere esposta, soprattutto se gestisce infrastrutture IT per clienti terzi, lavora su commesse internazionali o custodisce dati tecnici e riservati.
Inoltre Nimbus Manticore ha già mostrato di usare esche credibili di social engineering, comprese campagne in stile “opportunità di lavoro”, per indurre gli utenti ad aprire file o avviare contatti malevoli. Questo approccio abbassa la soglia d’ingresso dell’attacco: non serve violare subito un firewall se si riesce a convincere una persona a eseguire il primo passo.
I nuovi malware: come funzionano in pratica
Il primo strumento descritto è un utility di reverse SSH tunneling. In termini semplici, serve a creare un canale di comunicazione dall’host compromesso verso l’infrastruttura dell’attaccante, facilitando accesso remoto e movimento successivo senza esporsi troppo. Secondo la fonte, il tool si maschera da API del Windows Terminal Server SDK e apre una connessione SSH verso l’indirizzo 172.86.98[.]113 sulla porta 443.
Questo dettaglio tecnico ha una conseguenza pratica importante: la porta 443 è normalmente associata al traffico web cifrato HTTPS. In molte reti aziendali è aperta per necessità operative, quindi un canale ostile che viaggia su quella porta può confondersi più facilmente con il traffico legittimo se non ci sono controlli adeguati.
Il secondo strumento è una backdoor in C++ che presenta somiglianze con TWOSTROKE. Anche in questo caso il malware si traveste da componente di sistema, imitando la DLL di Windows wtsapi32.dll. Una volta attiva, la backdoor stabilisce una connessione HTTPS con uno dei tre server di comando e controllo incorporati nel codice e rimane in attesa di istruzioni.
Le capacità riportate sono quelle tipiche di un accesso remoto completo: raccolta di informazioni sul sistema, caricamento di DLL, manipolazione dei file, persistenza, download e upload di file, esecuzione di binari o librerie, elenco delle directory ed eliminazione di file specifici. In sostanza, se un attaccante ottiene questo livello di controllo, può trasformare un singolo PC compromesso in una base d’appoggio per attività più ampie.
Un’evoluzione coerente con i segnali già visti nel 2026
Le nuove evidenze si inseriscono in un quadro già delineato da Kaspersky, che aveva attribuito allo stesso attore una nuova backdoor per Windows chiamata NightLedger e due tunnel WebSocket personalizzati, BridgeHead e ArcBridge. L’obiettivo, anche in quel caso, era mantenere accesso persistente ai sistemi compromessi in campagne rivolte a organizzazioni in Medio Oriente, Africa e Asia meridionale.
Mettendo insieme i diversi rapporti emerge un tratto costante: il gruppo investe nella fase post-compromissione, cioè in tutto ciò che serve per restare dentro la rete, nascondersi, riaprire accessi e spostarsi con discrezione. Per un’azienda questo è un campanello d’allarme preciso, perché significa che la difesa non può basarsi solo sulla prevenzione iniziale. Anche se un attacco entra da una mail ben congegnata o da una postazione non aggiornata, la differenza la fanno visibilità, segmentazione e capacità di risposta.
I segnali da non sottovalutare in azienda
Nel caso di strumenti come questi, gli indicatori più utili non sono sempre quelli più appariscenti. Un ransomware si nota subito; un impianto di spionaggio, molto meno. Alcuni segnali che meritano attenzione sono:
- workstation o server che aprono connessioni anomale e persistenti verso Internet, specialmente su porta 443 ma verso destinazioni insolite;
- comparsa di file DLL con nomi simili a componenti legittimi di Windows in percorsi inattesi;
- strumenti amministrativi usati fuori orario o da macchine che normalmente non dovrebbero impiegarli;
- trasferimenti di file non coerenti con il profilo dell’utente o del sistema;
- nuovi meccanismi di persistenza su PC che non hanno subito modifiche autorizzate.
Questi indizi, presi singolarmente, non provano un attacco di stato. Ma ignorarli perché “non c’è alcun blocco operativo” è un errore comune: gli attacchi di spionaggio puntano proprio a restare silenziosi il più a lungo possibile.
Cosa significa per la tua azienda
Per una PMI italiana la lezione non è “prepararsi a una guerra cibernetica”, ma alzare il livello di igiene e controllo su quei punti che questi gruppi sfruttano meglio: persone, accessi remoti, endpoint e persistenza nascosta.
Primo: rivedi la protezione degli endpoint Windows. Se in azienda ci sono PC gestiti in modo eterogeneo, locali e remoti, serve una supervisione ordinata di aggiornamenti, software installati e configurazioni di sicurezza. Una gestione centralizzata delle postazioni riduce il rischio che malware camuffati da componenti di sistema passino inosservati. Se questo è oggi un punto debole, ha senso strutturare un servizio di desktop IT management.
Secondo: controlla davvero il traffico in uscita, non solo quello in ingresso. Molte aziende proteggono il perimetro ma danno per scontato che tutto ciò che esce sulla porta 443 sia legittimo. Non è più così. Servono regole, monitoraggio e alert sulle connessioni anomale, soprattutto da server e PC che non dovrebbero instaurare sessioni persistenti verso host sconosciuti.
Terzo: rafforza la formazione contro il social engineering. Se il gruppo usa esche legate al lavoro e alla selezione del personale, HR, direzione e dipendenti devono sapere riconoscere allegati sospetti, richieste fuori processo e contatti che cercano di spostare la conversazione su file o link esterni. La formazione è utile solo se collegata a procedure semplici: dove inoltrare una mail dubbia, chi avvisare, cosa non aprire mai.
Quarto: separa i privilegi amministrativi dall’uso quotidiano. Molti attacchi diventano gravi non per la prima infezione, ma perché l’utente compromesso ha più accesso del necessario. Account separati, MFA dove possibile, limitazione dei diritti locali e controllo sugli strumenti remoti riducono molto il danno potenziale.
Quinto: prepara il dopo. Se un attore riesce a stabilire persistenza, potresti dover ripristinare sistemi, verificare integrità dei dati e ricostruire attività. Un piano di remote backup ben testato è essenziale, ma deve essere accompagnato da procedure di isolamento e verifica: ripristinare un sistema infetto senza controlli significa rischiare di reintrodurre il problema.
Infine, se gestisci dati di clienti, dipendenti o partner, un incidente di questo tipo può avere anche impatti organizzativi e normativi. Vale la pena verificare che ruoli, registri, misure tecniche e processi di gestione degli incidenti siano coerenti con gli obblighi privacy, soprattutto se i dati coinvolti sono personali. In questi casi è utile collegare la sicurezza operativa anche alla conformità, ad esempio con un supporto su GDPR.
La lezione strategica: gli attaccanti investono nella permanenza
Il punto più interessante di questa vicenda non è il singolo malware, ma la direzione complessiva. Nimbus Manticore non sembra limitarsi a cercare nuovi bersagli: sta migliorando il modo in cui conserva accesso ai sistemi già compromessi, usando componenti che imitano file di Windows e canali di comunicazione difficili da distinguere dal traffico lecito.
Per le aziende questo cambia la priorità. Non basta chiedersi “come impedisco l’ingresso?”, ma anche “quanto velocemente mi accorgo che qualcuno è dentro?” e “quanto è facile per un attaccante restare invisibile in rete per settimane?”. Chi sa rispondere bene a queste due domande è già più avanti della media.
Domande frequenti
Nimbus Manticore prende di mira anche le PMI italiane?
Non risultano nelle fonti indicazioni specifiche sulle PMI italiane, ma l’infrastruttura individuata comprende anche l’Europa. Inoltre fornitori IT, partner e aziende di filiera possono diventare bersagli indiretti.
Perché la porta 443 è un problema in questo caso?
Perché è comunemente usata per traffico HTTPS legittimo. Un tunnel malevolo che passa da lì può mimetizzarsi meglio se l’azienda non monitora in modo adeguato le connessioni in uscita.
Cosa devo fare subito se sospetto un’infezione silenziosa?
Isola il sistema sospetto, conserva i log, non cancellare file o prove e fai verificare rapidamente endpoint, account e traffico di rete. Agire presto riduce il rischio di persistenza e movimento laterale.