Tortoiseshell amplia l’arsenale: nuova backdoor, tunnel SSH e infrastruttura in Europa

🛡️ Executive Summary

• Group-IB identifica nuovi campioni associati a Tortoiseshell, tra cui una backdoor C++ simile a TWOSTROKE e un’utilità per reverse SSH tunneling.
• L’infrastruttura scoperta attraversa Medio Oriente ed Europa e utilizza domini, cloud Azure e relay progettati per mantenere accesso nelle reti compromesse.
• La difesa richiede hunting su DLL anomale, reverse SSH, beacon HTTPS, C2 ridondanti e infrastrutture già associate a Mirage Kitten e UNC1549.

Tortoiseshell continua ad ampliare capacità operative e infrastruttura di comando, confermando una delle evoluzioni più rilevanti tra i gruppi APT iraniani attivi nel 2026. Una nuova analisi di Group-IB Threat Intelligence ha individuato campioni malware finora non documentati, un’utilità destinata alla creazione di reverse SSH tunnel, una backdoor C++ con forti somiglianze con la famiglia TWOSTROKE e ulteriori nodi infrastrutturali distribuiti tra Medio Oriente ed Europa. Il gruppo, conosciuto anche come Mirage Kitten, UNC1549 e Nimbus Manticore, continua quindi a investire soprattutto nella capacità di mantenere accesso persistente e trasformare i sistemi compromessi in ponti verso segmenti di rete non direttamente raggiungibili da Internet.

Group-IB estende la mappa di Tortoiseshell oltre i campioni già conosciuti

La nuova ricerca tecnica di Group-IB su Tortoiseshell nasce dall’arricchimento di indicatori pubblicati in precedenza e da successive attività di threat hunting. I ricercatori hanno collegato nuovi campioni e infrastrutture a Tortoiseshell, attore iraniano operativo almeno dal 2018 e associato a campagne contro difesa, aerospazio, fornitori IT, organizzazioni militari e strutture governative. Group-IB lo considera uno dei gruppi iraniani più attivi del 2026 e ne collega l’attività agli interessi del Corpo delle Guardie della Rivoluzione Islamica, pur mantenendo l’attribuzione sul piano tecnico e infrastrutturale. La continuità con le campagne precedenti è evidente: il gruppo già osservato come Mirage Kitten con NightLedger e due tunnel WebSocket continua a privilegiare strumenti che riducono la quantità di malware necessaria sull’endpoint e spostano parte del controllo operativo verso tunnel e infrastrutture remote. Il risultato è un arsenale meno dipendente dalla singola backdoor e più orientato alla costruzione di accessi persistenti e riutilizzabili.

Una DLL mascherata crea un reverse SSH direttamente nella rete compromessa

Uno dei componenti più interessanti individuati da Group-IB si presenta come una DLL che imita l’API Windows Terminal Server, utilizzando il nome wtsapi32.dll e inoltrando le funzioni legittime verso la libreria autentica. Dietro questa facciata il componente avvia ssh.exe, già presente nelle moderne installazioni Windows attraverso OpenSSH, e crea una connessione verso l’infrastruttura degli operatori sulla porta 443. Il comando osservato utilizza un’autenticazione tramite chiave privata e crea un reverse tunnel sulla porta 1081, facendo sì che il traffico inviato a localhost:1081 sul server C2 venga inoltrato all’interno della rete compromessa. L’importanza operativa della tecnica è notevole: il collegamento viene iniziato dall’host infetto verso l’esterno e può quindi attraversare firewall che impediscono connessioni inbound, mentre l’utilizzo della porta 443 rende il traffico meno evidente in ambienti dove l’HTTPS è normalmente consentito. Group-IB sottolinea che questo comportamento coincide con TTP già attribuite a UNC1549, che utilizza tunnel SSH inversi per trasformare un endpoint compromesso in un punto di accesso alle risorse interne.

La nuova backdoor C++ riprende la logica di TWOSTROKE

Il secondo componente è una backdoor C++ che presenta similitudini con TWOSTROKE, famiglia già collegata alle operazioni del gruppo. L’impianto permette agli operatori di eseguire comandi shell, operare sui file, caricare ed esfiltrare dati e svolgere attività di ricognizione sul sistema. Prima di contattare il C2 genera un identificatore univoco partendo dal Fully Qualified Domain Name del computer, ottenuto attraverso GetComputerNameExW. Il valore viene sottoposto a XOR utilizzando la chiave ripetuta Pn, successivamente convertito in esadecimale e ulteriormente trasformato prima di essere inviato all’infrastruttura remota. La backdoor contiene tre C2 hard-coded — neexportfolio[.]com, neexportfolio.azurewebsites[.]net e neexportfolio.eastus.cloudapp.azure[.]com — e li utilizza con una logica di fallback: se uno non risponde, passa al successivo. La scelta di combinare un dominio autonomo con servizi Microsoft Azure replica un modello già osservato nelle campagne del gruppo, dove infrastruttura cloud legittima e domini controllati direttamente convivono per aumentare resilienza e confondere l’analisi del traffico.

L’infrastruttura indica un’espansione verso Europa e Medio Oriente

L’arricchimento degli indicatori ha permesso a Group-IB di ricostruire anche una rete di domini e sottodomini che suggerisce un perimetro geografico più ampio rispetto alle operazioni precedentemente documentate. Partendo dal C2 aecert[.]org, già associato all’attore, i ricercatori hanno individuato l’indirizzo 185.253.116[.]81 e successivamente i domini locat[.]sbs e tiktok-u[.]sbs. I relativi sottodomini utilizzano nomenclature geografiche come uae1 fino a uae14, sau1, sau2, sau3, uk1 e uk2, insieme ad altri riferimenti riconducibili a specifici Paesi. Group-IB interpreta questi elementi come segnali di un’espansione dell’infrastruttura verso Emirati Arabi Uniti, Arabia Saudita, Regno Unito e altri Paesi europei e mediorientali, pur senza equiparare automaticamente ogni sottodominio a una vittima confermata. La tendenza è comunque coerente con l’evoluzione già osservata in Nimbus Manticore tra Europa, MiniJunk e MiniBrowse, dove il gruppo aveva iniziato a diversificare infrastrutture, malware e geografie operative oltre i tradizionali bersagli israeliani.

Tortoiseshell usa più livelli per mantenere accesso e ridurre l’esposizione

Il quadro tecnico che emerge è quello di un attore che non affida più la persistenza a un singolo impianto. La backdoor offre controllo dell’host, il tunnel SSH crea un canale indipendente verso la rete interna e l’infrastruttura C2 distribuita garantisce ridondanza. Questo approccio permette agli operatori di separare funzioni differenti: un componente può sopravvivere anche se un altro viene rilevato, mentre il traffico può essere riallocato verso server differenti senza reinstallare necessariamente il malware. La stessa logica era già evidente con NightLedger, BridgeHead e ArcBridge, dove Mirage Kitten utilizzava una backdoor per il controllo dell’endpoint e tunneler dedicati per attraversare proxy e raggiungere segmenti interni. Group-IB mostra ora che il gruppo continua a sviluppare questo modello con strumenti differenti, incluso OpenSSH nativo di Windows, riducendo ulteriormente la quantità di codice personalizzato necessario per ottenere lo stesso risultato operativo. Per i SOC questo significa che una detection centrata esclusivamente sulla firma della backdoor rischia di lasciare attivi canali alternativi già installati.

La combinazione di cloud legittimo e C2 autonomi complica il blocco

L’uso di Azure rappresenta un ulteriore problema difensivo. Connessioni verso azurewebsites.net o cloudapp.azure.com possono essere perfettamente legittime in un ambiente enterprise e bloccarle indiscriminatamente non è realistico. Tortoiseshell sfrutta quindi la reputazione e la diffusione delle infrastrutture cloud per rendere meno evidente il beaconing, affiancando contemporaneamente domini propri per garantire maggiore controllo. La presenza di più C2 hard-coded riduce inoltre l’efficacia delle operazioni di takedown limitate a un singolo dominio. Questo modello costringe i difensori a concentrarsi maggiormente su processo sorgente, percorso della DLL, sequenza di caricamento, frequenza delle connessioni HTTPS e comportamenti di tunneling, invece di valutare soltanto la destinazione remota. Una DLL wtsapi32.dll caricata da una directory non standard, seguita dall’esecuzione di ssh.exe con opzioni -R, StrictHostKeyChecking=no e una chiave privata collocata sotto systemprofile, rappresenta un indicatore comportamentale molto più utile di un semplice IP destinato a cambiare.

Threat hunting su SSH, TWOSTROKE e traffico HTTPS diventa prioritario

Group-IB raccomanda alle organizzazioni potenzialmente esposte di mantenere attività persistenti di threat hunting, integrare feed di threat intelligence, utilizzare regole YARA dedicate e monitorare attentamente le comunicazioni in uscita. Un controllo efficace dovrebbe cercare varianti di TWOSTROKE, caricamenti sospetti di wtsapi32.dll, istanze insolite di OpenSSH avviate da processi di sistema e connessioni HTTPS periodiche verso domini non compatibili con il normale profilo della macchina. È inoltre necessario verificare la presenza di chiavi SSH non autorizzate sotto account di sistema e analizzare i processi che stabiliscono tunnel inversi. La difesa deve concentrarsi soprattutto sulla fase successiva alla compromissione: Tortoiseshell utilizza strumenti progettati per trasformare un singolo host in una porta d’ingresso persistente verso l’intera rete, quindi eliminare il payload iniziale senza verificare tunnel, credenziali e movimento laterale può lasciare intatto l’accesso degli operatori.

Tortoiseshell conferma la maturazione dell’ecosistema APT iraniano

La nuova ricerca mostra infine una maturazione costante dell’ecosistema operativo iraniano. Tortoiseshell non sta semplicemente aggiungendo malware al proprio arsenale, ma sta costruendo una struttura modulare nella quale backdoor, infrastruttura cloud, tunnel e ricognizione possono essere sostituiti o combinati in base alla vittima. Group-IB osserva interessi verso difesa, aerospazio, governi e organizzazioni collegate a settori strategici, categorie nelle quali un accesso persistente possiede un valore informativo superiore alla semplice compromissione occasionale. Il ricorso a reverse SSH, C2 multipli e infrastruttura distribuita mostra inoltre una precisa priorità: rimanere dentro le reti e mantenere opzioni alternative di accesso. Per questo la minaccia rappresentata da Tortoiseshell non dipende soltanto dalla sofisticazione della singola backdoor, ma dalla capacità di trasformare strumenti relativamente semplici e tecnologie legittime in una piattaforma resiliente di cyberspionaggio.