Nimbus Manticore actualiza su arsenal: apuesta por túneles SSH inversos y prescinde de puertos abiertos

El grupo Tortoiseshell no solo mantiene actividad años después de las primeras operaciones detectadas, sino que además amplía notablemente su arsenal y su geografía. Los especialistas de Group-IB descubrieron una nueva infraestructura y componentes maliciosos hasta ahora no descritos asociados con el grupo vinculado a Irán, que ataca a organizaciones de defensa, aeroespaciales, militares y tecnológicas.

Tortoiseshell opera al menos desde 2018 y también es conocida como Mirage Kitten, UNC1549 y Nimbus Manticore. Group-IB relaciona el grupo con el Cuerpo de la Guardia Revolucionaria Islámica de Irán. En campañas anteriores, los atacantes comprometieron cadenas de suministro, infectaron sitios, crearon páginas falsas de contratación y utilizaron puertas traseras propias. En 2026 Tortoiseshell se situó entre las APT iraníes más activas, es decir, equipos organizados que realizan operaciones dirigidas prolongadas y ocultas.

Una de las novedades es una herramienta para crear un túnel SSH inverso, camuflada como la biblioteca del sistema Windows wtsapi32.dll. Al ejecutarse, el programa utiliza el cliente OpenSSH integrado y establece por sí mismo una conexión cifrada con el servidor de control de los atacantes. A través del canal creado, los operadores pueden redirigir tráfico de vuelta a la red interna de la víctima sin abrir una conexión entrante desde el exterior.

La segunda muestra detectada resultó ser una puerta trasera similar a TWOSTROKE, que ya se había vinculado a las operaciones del grupo. La biblioteca maliciosa vuelve a hacerse pasar por wtsapi32.dll y está diseñada para interceptar el orden de carga de las DLL. En ese escenario, una aplicación legítima de Windows puede cargar el archivo malicioso en lugar de la biblioteca del sistema requerida y así ejecutar la puerta trasera de forma silenciosa.

TWOSTROKE se conecta a varios servidores de control y cambia a la siguiente dirección si el principal deja de responder. Tras la conexión, la puerta trasera envía un identificador único del equipo infectado y solicita comandos a los operadores. El conjunto de capacidades ofrece a los atacantes casi control total del sistema: pueden ejecutar programas y comandos, cargar DLL directamente en memoria, descargar y exfiltrar archivos, explorar directorios, eliminar datos y obtener el nombre del equipo y de la cuenta de usuario.

Los especialistas prestaron especial atención a la infraestructura de Tortoiseshell. El análisis de un dominio vinculado al grupo condujo a otros dos dominios y a una amplia red de subdominios con denominaciones de países y regiones. Entre los nombres aparecen abreviaturas relacionadas con EAU, Arabia Saudita, Reino Unido, Canadá, Australia y Japón. Los servidores están alojados en distintos países de Europa, Oriente Medio y otras regiones.

Solo por la estructura de los dominios no es posible determinar con seguridad la función de los servidores ni identificar organizaciones concretas que fueron objetivo. Group-IB no encontró muestras maliciosas vinculadas a parte de la infraestructura y, por ello, no extrae conclusiones definitivas. Sin embargo, la red encontrada, junto con otros indicios, apunta a una posible expansión de la geografía de operaciones de Tortoiseshell más allá de su círculo previo de objetivos.

Los nuevos hallazgos muestran que Tortoiseshell continúa desarrollando herramientas para mantener una presencia sigilosa dentro de redes corporativas. Los túneles SSH inversos ayudan a los operadores a trazar un canal hacia la infraestructura interna, y TWOSTROKE aporta funciones para reconocimiento, ejecución de comandos y manejo de archivos. Group-IB considera que la combinación de nuevas herramientas e infraestructura de servidores distribuida permite al grupo sostener operaciones de espionaje contra organizaciones en Oriente Medio y en Europa.