Mirage Kitten schiera NightLedger e due tunnel WebSocket

🛡️ Executive Summary

• Mirage Kitten utilizza la nuova backdoor NightLedger per ricognizione, esecuzione di comandi, furto di file e acquisizione di schermate.
• BridgeHead e ArcBridge trasformano i sistemi compromessi in tunnel WebSocket capaci di raggiungere risorse interne attraverso proxy aziendali.
• Le vittime osservate appartengono ai settori governativo, aerospaziale, finanziario e delle telecomunicazioni in Medio Oriente, Africa e Pakistan.

Mirage Kitten, gruppo APT conosciuto anche come UNC1549, Smoke Sandstorm e Nimbus Manticore, ha ampliato il proprio arsenale con una nuova backdoor Windows e due strumenti personalizzati per il tunneling della rete. L’analisi di Kaspersky documenta NightLedger, impianto destinato alla ricognizione e al controllo degli endpoint, insieme a BridgeHead e ArcBridge, due tunnel basati su WebSocket utilizzati per attraversare proxy aziendali e accedere alle risorse interne delle vittime. L’attività colpisce organizzazioni governative, aerospaziali, finanziarie e delle telecomunicazioni tra Medio Oriente, Africa e Pakistan, confermando la continuità delle operazioni di cyberspionaggio attribuite al gruppo iraniano.

Mirage Kitten colpisce settori strategici con phishing mirato

Mirage Kitten conduce operazioni di spionaggio contro organizzazioni dell’aerospazio, dell’aviazione, della difesa e delle telecomunicazioni, utilizzando campagne di spear phishing costruite intorno alle attività professionali delle singole vittime. Kaspersky non ha ricostruito il vettore iniziale per tutti i campioni analizzati, ma ha osservato l’installazione di BridgeHead durante attività successive alla compromissione in Egitto e presso un’organizzazione aerospaziale e aeronautica del Pakistan. Le esche note imitano portali di selezione del personale, aziende affidabili e piattaforme per videoconferenze, indirizzando i destinatari verso archivi malevoli ospitati su servizi legittimi di condivisione dei file. La tattica prosegue il modello già associato a UNC1549 nelle operazioni contro aerospazio e difesa, nel quale la personalizzazione dell’inganno precede l’impiego di malware sviluppati per una persistenza prolungata. La nuova campagna non appare orientata alla diffusione indiscriminata: selezione dei bersagli, controlli incorporati nei campioni e strumenti di tunneling indicano una presenza costruita per rimanere nelle reti e raggiungere sistemi non direttamente esposti.

NightLedger si nasconde dietro una DLL di Windows

NightLedger è una backdoor Windows mascherata come SspiCli.dll e progettata per essere caricata attraverso il DLL search-order hijacking. Il malware viene collocato accanto all’eseguibile legittimo AppVShNotify.exe, componente Microsoft che importa RPCRT4.dll; quando una funzione RPC richiede autenticazione, la libreria può caricare SspiCli.dll, permettendo al file malevolo di inserirsi nel processo e inoltrare contemporaneamente le esportazioni previste alla DLL autentica. Una volta avviata, la backdoor crea un mutex con formato UUID per impedire l’esecuzione di più istanze e contatta periodicamente il proprio comando e controllo attraverso HTTPS. Il dominio principale osservato è realhealthshop[.]com, mentre tjconsultingservices[.]com viene utilizzato come indirizzo di riserva. L’impianto interpreta le istruzioni ricevute attraverso un delimitatore personalizzato e restituisce i risultati tramite richieste POST dedicate, struttura che presenta somiglianze con TWOSTROKE, precedente backdoor attribuita allo stesso gruppo. Questa continuità tecnica si inserisce nell’evoluzione descritta nell’analisi su Nimbus Manticore e i malware MiniJunk e MiniBrowse, dove infrastrutture cloud e componenti personalizzati sostenevano operazioni di spionaggio mirato.

La backdoor raccoglie file, processi e configurazioni di rete

NightLedger supporta una serie di comandi che consentono agli operatori di identificare l’utente e il computer, eseguire programmi, elencare directory e unità logiche, copiare o cancellare file, caricare DLL, terminare processi e modificare l’intervallo tra le comunicazioni con il C2. La backdoor può inoltre catturare schermate e caricare sul server remoto documenti selezionati, permettendo sia la sorveglianza delle attività sia l’esfiltrazione manuale delle informazioni. Una funzione specifica raccoglie C:\Windows\debug\NetSetup.log insieme all’elenco dei processi attivi. Il file registra operazioni di ingresso e uscita da domini o gruppi di lavoro e può rivelare nomi dei sistemi, domini Windows, errori di autenticazione e dettagli utili a ricostruire l’architettura della rete. La scelta di acquisire questo log mostra che Mirage Kitten non cerca soltanto documenti immediatamente monetizzabili, ma informazioni capaci di agevolare il movimento laterale e l’identificazione degli asset più importanti. Le capacità di NightLedger restano relativamente convenzionali rispetto a backdoor più complesse, ma risultano coerenti con un’operazione nella quale il valore deriva dalla selezione delle vittime e dalla possibilità di mantenere accesso nel tempo.

BridgeHead attraversa i proxy con le credenziali della vittima

BridgeHead è un tunneler WebSocket osservato in Egitto e Pakistan, distribuito con nomi e percorsi compatibili con programmi legittimi. Prima di attivarsi recupera il nome dell’utente Windows, lo converte in minuscolo e verifica la presenza di una breve stringa incorporata nel campione. Se il controllo non produce il risultato previsto, il malware termina senza avviare il tunnel. Questo comportamento indica che ogni build può essere preparata per una macchina o un account già individuato durante la ricognizione, riducendo l’efficacia delle sandbox e limitando l’esecuzione accidentale su sistemi differenti. Quando il controllo viene superato, BridgeHead apre una connessione HTTPS verso il C2 e richiede l’upgrade al protocollo WebSocket. Se il proxy aziendale restituisce il codice HTTP 407, il malware interroga i metodi di autenticazione disponibili e prova Negotiate o NTLM, sfruttando automaticamente il contesto SSO dell’utente corrente. Questa capacità permette di attraversare infrastrutture aziendali nelle quali le connessioni dirette sono vietate, ma il traffico web autenticato è consentito.

Il computer compromesso diventa un proxy SOCKS5 interno

Dopo l’autenticazione, BridgeHead opera come un proxy SOCKS5 completo. Il server degli aggressori invia attraverso WebSocket i comandi necessari ad aprire connessioni TCP verso indirizzi IPv4, IPv6 o nomi di dominio scelti dall’operatore, mentre il sistema infetto inoltra il traffico tra il bersaglio interno e il canale C2. In questo modo gli strumenti offensivi possono rimanere sul server degli attaccanti e utilizzare la macchina compromessa come punto d’ingresso nella rete aziendale. Le connessioni appaiono originate dall’endpoint della vittima e possono raggiungere servizi non accessibili da Internet, aggirando segmentazione perimetrale e controlli basati sulla provenienza. Il protocollo implementa messaggi per apertura, trasferimento dati, chiusura, keepalive e controllo del flusso, rendendo il tunnel adatto a sessioni persistenti e a più connessioni simultanee. Kaspersky ha individuato anche una variante che utilizza un dominio autonomo invece di Microsoft Azure, ma conserva lo stesso controllo sul nome utente, confermando una distribuzione preparata per obiettivi già selezionati. Il modello sviluppa le tecniche attribuite a Nimbus Manticore durante Operation Epic Fury, quando il gruppo aveva utilizzato MiniFast e meccanismi di hijacking per mantenere accesso nelle reti colpite.

ArcBridge offre un secondo canale di accesso alle reti

ArcBridge, individuato nell’aprile 2026 durante operazioni in Medio Oriente, rappresenta un secondo tunneler sviluppato dallo stesso gruppo. Il malware conserva in una configurazione incorporata indirizzo del C2, porta, timeout, opzione SSL e un identificatore dell’impianto. Dopo l’avvio crea un mutex con formato UUID e apre un canale simile a WebSocket attraverso il quale riceve comandi dal server. Le funzioni osservate consentono di creare una sessione proxy verso una destinazione scelta dall’operatore e di risolvere nomi host o indirizzi. ArcBridge dispone di meno funzioni documentate rispetto a BridgeHead, ma svolge lo stesso compito strategico: trasformare l’endpoint compromesso in un ponte verso altri sistemi della rete. L’impiego simultaneo di più tunneler offre agli aggressori ridondanza e permette di scegliere lo strumento più adatto alla configurazione del bersaglio. La persistenza operativa non dipende quindi esclusivamente dalla backdoor NightLedger, perché un accesso stabilito tramite BridgeHead o ArcBridge può sostenere ulteriori strumenti eseguiti dal server remoto e ridurre la quantità di malware depositato sul computer.

Le vittime attraversano Medio Oriente, Africa e Pakistan

La telemetria di Kaspersky identifica vittime in Egitto, ambienti governativi e piccole e medie imprese in Giordania e Tanzania, organizzazioni aerospaziali e dell’aviazione in Pakistan, aziende di telecomunicazioni in Etiopia ed entità finanziarie in Burkina Faso. La distribuzione geografica amplia il perimetro tradizionalmente associato alle campagne iraniane contro Medio Oriente e Israele, mostrando un interesse per infrastrutture e organizzazioni strategiche africane. Telecomunicazioni, aviazione e finanza possono offrire informazioni su reti, spostamenti, rapporti commerciali e comunicazioni istituzionali, mentre gli ambienti governativi permettono di raccogliere documenti e credenziali con valore geopolitico. L’attribuzione a Mirage Kitten si basa sulle somiglianze del codice, sui comportamenti condivisi con impianti storici e sulla coerenza con tecniche già associate al gruppo; non deriva quindi soltanto dalla localizzazione delle vittime o dall’uso di infrastrutture Azure. Il precedente dedicato all’APT iraniano UNC1549 contro il settore aerospaziale aveva già delineato la preferenza del gruppo per bersagli della difesa e dell’aviazione, oggi accompagnata da una maggiore attenzione verso tunnel personalizzati e reti africane.

Mirage Kitten riduce la dipendenza dai domini Azure

La ricerca tecnica di Kaspersky sui nuovi strumenti di Mirage Kitten evidenzia una progressiva modifica dell’infrastruttura di comando. Il gruppo continua a utilizzare sottodomini Microsoft Azure per confondere il traffico malevolo con servizi cloud legittimi, ma alcune varianti comunicano ormai con domini autonomi protetti da Cloudflare. Il cambiamento può ridurre gli elementi immediatamente riconducibili alle campagne precedenti e offrire maggiore flessibilità nella gestione dei C2. La difesa non può quindi basarsi soltanto sul blocco dei domini pubblicati: deve rilevare DLL caricate da percorsi anomali, eseguibili Microsoft avviati accanto a librerie non firmate, connessioni WebSocket persistenti da endpoint che normalmente non le utilizzano e autenticazioni automatiche verso proxy aziendali. Particolare attenzione va riservata ai processi che contattano domini esterni subito dopo il caricamento di SspiCli.dll, ai binari che terminano in base al nome dell’utente e alle macchine che iniziano a inoltrare connessioni verso più sistemi interni. NightLedger fornisce il controllo dell’endpoint, mentre BridgeHead e ArcBridge trasformano quella singola compromissione in un accesso operativo all’intera rete.