イランのAPTがSEOポイズニングを使用して、偽のSQL Developer マルウェアを拡散

イランのIRGC系列の脅威グループNimbus Manticore（UNC1549としても追跡）に関連する新たに観測されたサイバーキャンペーンは、配信戦術とマルウェアの高度化の両方における進化を浮き彫りにしています。

2026年2月28日に開始されたOperation Epic Furyに関連する進行中の地政学的紛争中に明らかにされた活動により、このグループが初めてSEOポイズニングマルウェアを正規ソフトウェアとして配布するために採用していることが示されています。

Nimbus Manticoreは歴史的に、キャリア関連のフィッシング作為を使用して、航空、防衛、通信セクターをターゲットにしてきました。最新の作戦では、グループは米国、ヨーロッパ、中東全域でのターゲティングを拡大し、航空会社およびソフトウェアプロバイダーになりすまして被害者を誘い込みました。

2026年初期のキャンペーンは、OnlyOfficeなどの正規プラットフォームでホストされているZIPアーカイブを配信するフィッシングメールに依存していました。これらのアーカイブはAppDomainハイジャッキングを悪用し、信頼された.NETアプリケーションに工作された.configファイルを介して悪意のあるDLLをロードするよう強制し、ステルス実行を可能にしました。

これらのファイルを実行した被害者は、知らず知らずのうちに、グループのMiniJunkマルウェアの更新版を展開した多段階感染チェーンをトリガーしました。

Operation Epic Furyの間、脅威行為者は、トロイの木馬化されたZoomインストーラーを使用した、より高度な感染チェーンを導入しました。マルウェアは正規のインストールプロセスを模倣しながら、悪意のあるコンポーネントを静かに展開しました。

観測された主要な技術は以下を含みます：

• 検出を回避するための正規署名バイナリの悪用。
• 永続化のためのZoom更新メカニズム経由のスケジュールタスクハイジャッキング。
• 難読化（ROT13および反転文字列）を使用した多段階ローダー。
• サンドボックス環境を回避するための厳密な実行チェック。

このキャンペーンはMiniFastという新しいバックドアのデビューをマークし、MiniJunkを置き換えました。マルウェアはファイル流出、コマンド実行、プロセス操作を含む、感染システムへの完全なリモートコントロールを可能にする64ビットDLLです。

MiniFastは構造化されたHTTPリクエストとJSON ベースの交換を使用してコマンド・アンド・コントロール（C2）サーバーと通信し、正規ネットワークアクティビティに溶け込むようにChromeブラウザトラフィックを偽装します。

イランのAPTがSEOポイズニングを使用

Checkpointは、GBhackersと共有したレポートで、SEOポイズニングを利用した第3段階のキャンペーンを特定しました。攻撃者はOracle SQL Developerのダウンロードポータルになりすましている偽のウェブサイト、getsqldeveloper[.]comを作成しました。

可視性を高めるために、グループは多くのサポートドメインを登録しました。「Download SQL Developer」および「SQL Developer Free」などのキーワード詰め込み技術を使用しました。この操作は、BingとDuckDuckGoのような検索エンジンで悪意のあるサイトを高いランキングに押し上げました。

SQLツールを検索したユーザーは偽のサイトにリダイレクトされ、MiniFastバックドアを配信した悪意のあるインストーラーが提供され、従来のフィッシングから検索駆動型感染ベクトルへのシフトをマークしました。

• 詳細で反復的な関数命名パターン。
• 簡単なAPI呼び出しの周囲の広範なエラー処理。
• 比較的シンプルな機能にもかかわらず、モジュール構造。
• 組み込まれたデバッグスタイルのメッセージと詳細なログ。

これらの特性は、大規模言語モデルまたは自動コーディングツールの使用を示唆しており、高速開発サイクルと進行中の作戦中の迅速な適応を可能にしています。

MiniFastは、以下の機能を含む完全に機能したバックドアとして機能します：

• CMDを介したリモートコマンド実行。
• ファイルのアップロードとダウンロード。
• ディレクトリとプロセスの列挙。
• スケジュールタスク経由の永続化。
• 通信間隔の動的構成。

マルウェアはBase64エンコードされたタスキングを使用し、オペレーターに侵害されたシステムに対する細粒度制御を与える、広いオペコードベースのコマンド構造をサポートしています。

Nimbus Manticoreの最新キャンペーンは、運用成熟度における重大なシフトを実証しています。SEOポイズニング、AI支援マルウェア開発、およびステルス重視型実行技術の採用は、戦時状況によって駆動される急速な進化を示しています。

米国の航空ターゲットへの拡大と高価値セクターへの継続的な焦点は、イランのより広い情報収集目標と一致しています。これらの開発は、サイバー作戦と地政学的紛争の増加する収束を強調し、脅威行為者が運用効果を維持するための革新を加速させています。

IOCs

注記： IPアドレスとドメインは意図的にdefanged（例： [.]）です。偶発的な解決またはハイパーリンクを防ぐためです。MISP、VirusTotal、またはSIEMなどの制御された脅威インテリジェンスプラットフォーム内でのみrefangします。