Minacce · 47 giorni fa
Group-IB ha trovato nuova infrastruttura di Tortoiseshell e due campioni non documentati prima, segno che il gruppo sta ampliando i modi con cui mantiene accesso furtivo in Europa e Medio Oriente. La novità non è solo l’aggiunta di nuovo malware, ma l’estensione del suo playbook verso canali più difficili da distinguere dall’attività normale di Windows.
Un campione si finge una DLL di sistema e usa il client OpenSSH della macchina per aprire un reverse tunnel verso l’operatore; l’altro si presenta ancora come wtsapi32.dll e richiama una backdoor in C++ con funzioni di file transfer, esecuzione di comandi e caricamento di DLL. In pratica, il traffico di comando può passare per componenti legittimi del sistema, e la persistenza non dipende da un solo implant noto.
Per difesa, aerospace, IT services e ambiente militare, il punto è che la caccia ai soli artefatti già noti non basta più: Tortoiseshell mostra più di un modo per rimanere dentro e per deviare il controllo attraverso il sistema compromesso. La nuova infrastruttura suggerisce anche un profilo di targeting più ampio, con ricadute che possono estendersi oltre i bersagli storici del gruppo.
2 fonti che coprono questa storia
Nimbus Manticore Expands Toolset With TWOSTROKE-Like Backdoor and SSH Tunneler
Group-IB uncovers new Nimbus Manticore infrastructure, an SSH tunneler, and a TWOSTROKE-like C++ backdoor across Europe and the Middle East.
Tortoiseshell Expands Toolset With New Backdoor, SSH Tunnel
Group-IB uncovered new Tortoiseshell infrastructure, including a backdoor and SSH tunneling tool
Part of the PlainSec briefing for 2026-08-27