Ver el código de «Campaña de Nimbus Manticore (UNC1549): Instaladores de Zoom Infectados y Envenenamiento SEO contra Empresas Estadounidenses (2026)»

== Nombres Alternativos / Aliases ==

* Nimbus Manticore Campaign (Por el nombre del grupo)
* UNC1549 Zoom Installer Trojan (Por el identificador del grupo y el vector)
* MiniFast Backdoor Operation (Por el nombre del malware)
* IRGC-Affiliated Software Supply Chain Attack (Por la atribución)
* Operación Furia Épica Cibernética (Por el contexto geopolítico)

== Fecha de Detección / Actividad ==

* Período de Mayor Actividad: Febrero – abril de 2026
* Operación Militar de Contexto: Operación Furia Épica (lanzada el 28 de febrero de 2026)
* Fecha del Informe de Check Point Research (CPR): 22 y 27 de mayo de 2026
* Estado: Activo. El grupo continúa evolucionando sus técnicas.

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: Nimbus Manticore (también conocido como UNC1549)
* Vínculo Gubernamental: Cuerpo de la Guardia Revolucionaria Islámica (IRGC) de Irán
* Tipo de Actor: Grupo de ciberdelincuencia patrocinado por el estado, especializado en espionaje y recopilación de inteligencia.
* Sofisticación: Alta. El grupo demuestra:
** Técnicas avanzadas de secuestro de AppDomain (AppDomain Hijacking)
** Desarrollo de malware asistido por IA (código limpio, manejo exhaustivo de errores)
** Abuso de tareas programadas legítimas de Zoom para persistencia
** Envenenamiento SEO (SEO poisoning) para distribuir malware
** Suplantación de identidad de navegadores (Chrome) para evasión
** Múltiples familias de malware (MiniJunk, MiniFast)

== Resumen Ejecutivo ==
Entre febrero y abril de 2026, en el contexto de la Operación Furia Épica (campaña militar estadounidense contra Irán lanzada el 28 de febrero de 2026), el grupo iraní Nimbus Manticore (UNC1549) , afiliado a la Guardia Revolucionaria Islámica (IRGC) , llevó a cabo una serie de ciberataques contra objetivos en Estados Unidos, Europa y Oriente Medio, con un enfoque particular en los sectores de aviación y software.

La campaña evolucionó a través de tres oleadas distintas:

=== Oleada 1 (Febrero 2026): Ofertas de trabajo falsas con secuestro de AppDomain ===
El grupo atacó a trabajadores en Arabia Saudita y Australia con ofertas de trabajo falsas alojadas en OnlyOffice. Las víctimas descargaban un archivo ZIP que contenía un binario legítimo de Microsoft (<code>Setup.exe</code>) junto con un archivo de configuración malicioso (<code>Setup.exe.config</code>). Mediante la técnica de secuestro de AppDomain, el sistema era engañado para cargar y ejecutar un dropper malicioso (<code>uevmonitor.dll</code>) que desplegaba la puerta trasera MiniJunk.

=== Oleada 2 (Marzo 2026 – durante la Operación Furia Épica): Instaladores de Zoom infectados ===
El grupo cambió a invitaciones falsas de reuniones de Zoom que contenían un archivo <code>Zoominstall64.zip</code>. Este archivo incluía un instalador legítimo de Zoom (<code>Zoom_cm.exe</code>) para ocultar el ataque. A través del secuestro de AppDomain, se desplegaba silenciosamente una nueva puerta trasera llamada MiniFast mediante <code>InitInstall.dll</code>.

Técnica de persistencia innovadora: El malware secuestraba una tarea programada real de Windows creada por el instalador de Zoom (<code>ZoomUpdateTaskUser-{SID}</code>) para mantenerse oculto en el sistema, en lugar de crear un mecanismo de persistencia sospechoso.

Uso de IA en el desarrollo de malware: Check Point Research identificó múltiples indicadores de desarrollo asistido por IA en MiniFast:

* Manejo exhaustivo de errores incluso para llamadas API simples (ej. <code>GetUserName</code>)
* Patrones repetitivos de nombres de funciones descriptivos
* Cadenas de reporte de errores detalladas en estilo depuración
* Organización modular del código
* Código excepcionalmente limpio y bien estructurado

=== Oleada 3 (Abril 2026): Envenenamiento SEO – Falso SQL Developer ===
El grupo abandonó el correo electrónico para dedicarse al envenenamiento de motores de búsqueda (SEO poisoning). Crearon un sitio web falso, <code>getsqldeveloper[.]com</code>, que imitaba la página de descarga de SQL Developer de Oracle. Registraron decenas de dominios que enlazaban al sitio falso y utilizaron relleno de palabras clave para posicionarlo en los primeros resultados de Bing y DuckDuckGo. Los desarrolladores que buscaban descargar SQL Developer legítimo eran engañados para descargar un instalador malicioso que contenía la puerta trasera MiniFast.

== Vectores de Ataque / Métodos de Distribución ==

=== Oleada 1: Ofertas de trabajo falsas ===

* Señuelo: Correo de phishing con oferta de trabajo falsa
* Plataforma de alojamiento: OnlyOffice (ZIP alojado)
* Contenido del ZIP:
** <code>Setup.exe</code> (binario legítimo firmado por Microsoft)
** <code>Setup.exe.config</code> (archivo de configuración de secuestro de AppDomain)
** <code>uevmonitor.dll</code> (dropper de primera etapa)
** <code>Interop.TaskScheduler.dll</code> (DLL benigna)
* Mecanismo: Secuestro de AppDomain → carga de <code>uevmonitor.dll</code> → despliegue de MiniJunk

=== Oleada 2: Instaladores de Zoom infectados ===

* Señuelo: Invitación falsa a reunión de Zoom
* Archivo: <code>Zoominstall64.zip</code>
* Contenido del ZIP:
** <code>Setup.exe</code> (binario legítimo de Microsoft – <code>ServiceHub.VSDetouredHost.exe</code>)
** <code>Setup.exe.config</code> (secuestro de AppDomain → apunta a <code>InitInstall.dll</code>)
** <code>InitInstall.dll</code> (cargador de primera etapa)
** <code>Zoom_cm.exe</code> (instalador legítimo de Zoom)
** <code>UpdateConfig.xml</code> (archivo de configuración para segunda etapa)
** <code>Updater.dll</code> (cargador de segunda etapa)
** <code>UpdateChecker.dll</code> (carga útil final – MiniFast)
* Mecanismo:
*# Secuestro de AppDomain carga <code>InitInstall.dll</code>
*# El dropper muestra una ventana falsa de progreso de instalación
*# Ejecuta el instalador legítimo de Zoom (<code>Zoom_cm.exe</code>) para ocultar el ataque
*# Espera la creación de la tarea programada <code>ZoomUpdateTaskUser-{SID}</code>
*# Secuestra la tarea para ejecutar la segunda etapa
*# Carga de <code>UpdateChecker.dll</code> (MiniFast)

=== Oleada 3: Envenenamiento SEO – Falso SQL Developer ===

* Señuelo: Sitio web falso <code>getsqldeveloper[.]com</code> imitando a Oracle SQL Developer
* Método de distribución: Optimización de motores de búsqueda (SEO poisoning)
* Técnicas SEO: Relleno de palabras clave, docenas de dominios enlazados
* Motores de búsqueda afectados: Bing, DuckDuckGo (primeros resultados para "sql developer")
* Contenido descargado: Instalador malicioso con puerta trasera MiniFast

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Phishing (T1566) - Spearphishing Attachment (T1566.001)
|Correos con ofertas de trabajo falsas o invitaciones a Zoom.
|-
|Initial Access (TA0001)
|Drive-by Compromise (T1189)
|Envenenamiento SEO – sitio falso de SQL Developer.
|-
|Execution (TA0002)
|User Execution: Malicious Link (T1204.001)
|Usuario descarga y ejecuta el archivo ZIP.
|-
|Execution (TA0002)
|Command and Scripting Interpreter: .NET (T1059.005)
|Secuestro de AppDomain en aplicaciones .NET.
|-
|Persistence (TA0003)
|Scheduled Task/Job (T1053) - Scheduled Task (T1053.005)
|Secuestro de <code>ZoomUpdateTaskUser-{SID}</code> para persistencia.
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Instalador legítimo de Zoom oculta el ataque. Tarea programada legítima secuestrada.
|-
|Defense Evasion (TA0005)
|Obfuscated Files or Information (T1027)
|Cadenas ofuscadas con ROT13 y cadenas invertidas.
|-
|Defense Evasion (TA0005)
|Trusted Developer Utilities (T1127)
|Abuso de binarios firmados por Microsoft.
|-
|Defense Evasion (TA0005)
|Virtualization/Sandbox Evasion (T1497)
|Validación de cadena de procesos (<code>update.exe</code> → <code>svchost.exe</code>).
|-
|Discovery (TA0007)
|System Information Discovery (T1082)
|MiniFast recopila nombre de usuario, hostname, dominio.
|-
|Discovery (TA0007)
|Process Discovery (T1057)
|Enumeración de procesos (comando 0x05).
|-
|Discovery (TA0007)
|File and Directory Discovery (T1083)
|Listado de directorios (comando 0x02).
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|C2 vía HTTPS con JSON y estructuras Base64.
|-
|Command and Control (TA0011)
|Web Service (T1102)
|Uso de Azure Websites para infraestructura C2.
|-
|Command and Control (TA0011)
|Encrypted Channel (T1573)
|Tráfico TLS.
|-
|Command and Control (TA0011)
|User Agent Spoofing
|Suplantación de Chrome: <code>Mozilla/5.0 (...) Chrome/146.0.0.0</code>
|-
|Collection (TA0009)
|Data from Local System (T1005)
|MiniFast puede subir archivos locales al C2.
|-
|Exfiltration (TA0010)
|Exfiltration Over C2 Channel (T1041)
|Subida de archivos vía <code>/upload/</code> endpoint.
|-
|Impact (TA0040)
|Data Manipulation (T1565)
|No destructivo; enfoque en espionaje y recopilación.
|}

== MiniFast – Análisis Técnico de la Puerta Trasera ==
MiniFast es una DLL de 64 bits que exporta una función <code>CheckForUpdates</code>. La puerta trasera implementa una arquitectura de comandos completa con 18 códigos de operación diferentes:
{| class="wikitable"
!Código
!Capacidad
!Descripción
|-
|0x02
|Listar directorio
|Enumeración de archivos y carpetas
|-
|0x03
|Mover/Renombrar
|Mover o renombrar archivos/directorios
|-
|0x04
|Ejecutar comando
|<code>cmd.exe /c</code> con captura de salida
|-
|0x05
|Enumerar procesos
|Lista de procesos con PID
|-
|0x06
|Eliminar archivo/directorio
|Eliminación según tipo
|-
|0x07
|Descargar archivo
|Desde C2 a máquina local
|-
|0x08
|Subir archivo
|Desde máquina local a C2
|-
|0x09
|Enumerar unidades
|Unidades lógicas disponibles
|-
|0x0A
|Eliminar proceso
|Finalizar por PID
|-
|0x0B
|Cargar DLL
|Carga dinámica con exportación específica
|-
|0x0C
|Crear directorio
|Nuevo directorio en la víctima
|-
|0x0D
|Crear archivo ZIP
|Compresión de archivos/directorios
|-
|0xB0
|Solicitar elevación UAC
|Reinicio con <code>runas</code>
|-
|0xB1
|Instalar persistencia
|Crea tarea <code>WindowsSecurityUpdate</code>
|-
|0xF0
|Establecer intervalo de sondeo
|Ajuste dinámico de baliza
|-
|0xF1
|Comando inactivo
|Reconocimiento sin acción
|-
|0xF2
|Ajustar jitter
|Variación en intervalos de baliza
|}
Endpoints C2 de MiniFast:
{| class="wikitable"
!URI
!Método
!Propósito
|-
|<code>/rg</code>
|POST
|Primer handshake (obtiene socketId)
|-
|<code>/agent/init</code>
|POST
|Registro inicial de la víctima
|-
|<code>/agent/poll?token=</code>
|GET
|Recuperación de tareas
|-
|<code>/agent/result</code>
|POST
|Carga de resultados de ejecución
|-
|<code>/upload/</code>
|PUT
|Exfiltración de archivos
|-
|<code>/files/</code>
|GET
|Descarga de archivos desde C2
|}

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador
!Propósito
|-
|Plataforma de alojamiento legítimo
|OnlyOffice
|Alojamiento de ZIP con ofertas de trabajo falsas
|-
|Plataforma de alojamiento legítimo
|Azure Websites
|Alojamiento de infraestructura C2
|-
|Dominios falsos
|getsqldeveloper[.]com
|Sitio falso de SQL Developer (SEO poisoning)
|-
|Certificados de firma (abuso)
|Gray Matter Software S.R.L., Kirubel Kerie Negeya (SSL.com)
|Firma de archivos maliciosos
|-
|Binarios legítimos abusados
|<code>Setup.exe</code> (Microsoft), <code>Zoom_cm.exe</code> (Zoom)
|Carga lateral y ocultamiento
|-
|Tarea programada secuestrada
|<code>ZoomUpdateTaskUser-{SID}</code>
|Persistencia
|}

== Objetivos y Sectores Afectados ==

* Sectores Estratégicos:
** Aviación (principal objetivo en EE. UU.)
** Desarrollo de software
** Defensa
** Telecomunicaciones
* Distribución Geográfica:
** Estados Unidos (nuevo objetivo en esta campaña)
** Israel
** Emiratos Árabes Unidos
** Arabia Saudita
** Australia
** Europa Occidental
* Tipo de Víctimas: Empleados de aerolíneas, desarrolladores de software, organizaciones gubernamentales y privadas

== Impacto y Riesgo ==

* Nivel de Riesgo: Alto para las organizaciones objetivo (espionaje industrial, robo de propiedad intelectual). Medio para usuarios individuales (compromiso de sistemas).
* Capacidades del Malware (MiniFast):
** Control remoto completo (<code>cmd.exe</code>)
** Exfiltración de archivos
** Descarga de herramientas adicionales
** Elevación de privilegios (UAC bypass)
** Persistencia a largo plazo
* Técnicas de Evasión:
** Secuestro de tareas programadas legítimas de Zoom
** Binarios firmados por Microsoft
** Validación de cadena de procesos (evasión de sandbox)
** Suplantación de User-Agent de Chrome
* Contexto Geopolítico: La campaña coincide con la Operación Furia Épica (campaña militar estadounidense contra Irán), lo que sugiere que los ataques cibernéticos forman parte de una estrategia más amplia de inteligencia y posible represalia.

== Recomendaciones de Mitigación ==

=== Para Usuarios: ===

# Descargar software solo de fuentes oficiales: Evitar sitios de terceros para descargar Zoom, SQL Developer u otras aplicaciones.
# Verificar URLs: Antes de descargar, verificar que el dominio sea el oficial (ej. <code>zoom.us</code>, <code>oracle.com</code>).
# Desconfiar de ofertas de trabajo no solicitadas: Especialmente aquellas que requieren descargar archivos ZIP.
# No ejecutar archivos de fuentes no verificadas: Incluso si contienen binarios aparentemente legítimos.

=== Para Organizaciones: ===

# Monitoreo de tareas programadas: Auditar tareas programadas, especialmente aquellas relacionadas con aplicaciones comunes (Zoom, Chrome, etc.), para detectar modificaciones no autorizadas.
# Restricción de AppDomain Hijacking: Implementar políticas de seguridad en .NET que restrinjan el uso de <code>AppDomainManager</code> no autorizado.
# Detección de abuso de binarios firmados: Monitorear la ejecución de binarios de Microsoft desde ubicaciones no estándar (ej. <code>%AppData%\Local\Packages\</code>).
# Bloqueo de dominios C2: Implementar feeds de inteligencia de amenazas para bloquear los dominios de Azure Websites identificados.
# Segmentación de red: Limitar el acceso a sistemas críticos desde estaciones de trabajo de empleados.
# Educación en seguridad: Capacitar a empleados sobre envenenamiento SEO y técnicas de phishing avanzadas.

== Herramientas de Detección ==

* EDR: Detección de carga lateral de DLL, secuestro de AppDomain, y ejecución de comandos anómalos (<code>cmd.exe</code> desde procesos no esperados).
* SIEM: Correlación de logs de creación/modificación de tareas programadas y ejecución de binarios desde ubicaciones de <code>AppData</code>.
* Monitoreo de Red: Detección de tráfico hacia Azure Websites con patrones JSON/Base64 característicos.
* Yara Rules: Reglas para identificar MiniFast y MiniJunk basadas en cadenas de error y estructuras de exportación.

== Referencias y Fuentes ==

* Ahmed, D. (2026, 27 de mayo). ''Iranian Nimbus Manticore used trojanized Zoom installers against US companies''. (Artículo proporcionado por el usuario)
* Check Point Research (CPR). (2026, 22 de mayo). ''Fast and Furious: Nimbus Manticore Operations During Iran Conflict''.
* Check Point Research. (2026). ''Nimbus Manticore (UNC1549) Campaign Analysis''.
* MITRE ATT&CK Framework. Enterprise Matrix.

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-05-28
|1.0
|Asistente
|Creación inicial basada en el artículo de Deeba Ahmed y el informe de Check Point Research.
|}

== Indicadores de Compromiso (IOCs) ==

=== Hashes SHA-256 (Muestras de Malware) ===
{| class="wikitable"
!Hash
!Descripción
|-
|<code>10fd541674adadfbba99b54280f7e59732746faf2b10ce68521866f737f1e46d</code>
|MiniFast / Componente malicioso
|-
|<code>eee657ffdb2af8ed6412221e7d5fbf4f5742f2ac2c88f43f12db46af0697de71</code>
|MiniFast / Componente malicioso
|-
|<code>781605ce9d4a9869e846f6c9657d71437cb6240ab27ffbc4cd550c0e06996690</code>
|MiniFast / Componente malicioso
|-
|<code>2c214494fd0bad31473ca8adce78a4f50847876584571e66aadeae70827ec2dc</code>
|MiniFast / Componente malicioso
|-
|<code>f08b17856616d66492a24dced27f788e235f35f42fa7cd10f315000d3a2f4c03</code>
|MiniFast / Componente malicioso
|-
|<code>a57ffb819fe8d98ff925c5d7b239598fe302acf5a13193d7a535040a71298fdf</code>
|MiniFast / Componente malicioso
|-
|<code>63d0d3c4a7f71bdbca720903d6a99b832089cc093c64d2938e7e001e56c17ab4</code>
|MiniFast / Componente malicioso
|-
|<code>74882085db2088356ed7f72f01e0404a0a98cda88ef56fb15ce74c1f36b26d27</code>
|MiniFast / Componente malicioso
|-
|<code>bc3b44154518c5794ce639108e7b9c5fecb0c189607a26de1aaed518d890c7ad</code>
|MiniFast / Componente malicioso
|-
|<code>ecaf493c320d201d285ef5f61d75744216e47cf1115b4af528f9a78883cc446e</code>
|MiniFast / Componente malicioso
|-
|<code>44f4f7aca7f1d9bfdaf7b3736934cbe19f851a707662f8f0b0c49b383e054250</code>
|MiniFast / Componente malicioso
|-
|<code>0db36a04d304ad96f9e6f97b531934594cd95a5cea9ff2c9af249201089dc864</code>
|MiniFast / Componente malicioso
|-
|<code>485f182f7b74ea4013b2539275a95d21e3a9bf0082c331937af9353a324b36f3</code>
|MiniFast / Componente malicioso
|-
|<code>64530d7e6ee30e4a66d9eeed6b8595c33fd72f5f73409133ca40539e5695df4c</code>
|MiniFast / Componente malicioso
|-
|<code>332ba2f0297dfb1599adecc3e9067893e7cf243aa23aedce4906a4c480574c17</code>
|MiniFast / Componente malicioso
|-
|<code>9e4a658e6d831c9e9bdfe11884a75b7c64812ed0a80e8495ddf6b316505acac1</code>
|MiniFast / Componente malicioso
|-
|<code>43dc62cef52ebdd69e79f10015b3e13890f26c058325c0ff139c70f8d8eadcfa</code>
|MiniFast / Componente malicioso
|-
|<code>8808c794c24367438f183e4be941876f1d3ecd0c8d2eb43b10d2380841d2283b</code>
|MiniFast / Componente malicioso
|-
|<code>5c3362d20229597d11380f56d1f2eb39647fb6afad7be8392a7abcd18dff12f8</code>
|MiniFast / Componente malicioso
|-
|<code>0291ef318576953f7f3fe287e7775ed1d7c3206119dc7b9cd6d85c02779e6e40</code>
|MiniFast / Componente malicioso
|-
|<code>d4a7e9f107fe40c1a5d0139c6c6e25bf6bf57f61feff090bee28f476bb3cc3c2</code>
|MiniFast / Componente malicioso
|-
|<code>38bd137c672bd58d08c4f0502f993a6561e2c3411773d1ae57ee0151a0a9d11d</code>
|MiniFast / Componente malicioso
|-
|<code>f54cd38632ac9da3af3533ae93e92625cbcb04df521dbf1b6acfaa81218f9e8c</code>
|MiniFast / Componente malicioso
|-
|<code>b19e06da580cf91691eda066ac9ee4b09c6e5dc26c367af12660fe1f9306eec4</code>
|MiniFast / Componente malicioso
|-
|<code>9cf029daca89523d917dafed0568d11d00e45ec96b5b90b4a1f7fd4018c7da84</code>
|MiniFast / Componente malicioso
|-
|<code>a13ba3c5aff46e9daf2d23df4b3e3d49dc7236c207c56f0a1433051f3450d441</code>
|MiniFast / Componente malicioso
|-
|<code>dfa1e3137a032ee8561a1cd5e1a0f71a10bebb36aef7c336c878638a9c1239ee</code>
|MiniFast / Componente malicioso
|}

=== Dominios Maliciosos (Defang) ===
{| class="wikitable"
!Dominio
!Propósito
|-
|<code>empresa-startup[.]org</code>
|Infraestructura C2
|-
|<code>azurebusiness-startupwebsite[.]net</code>
|Infraestructura C2 (Azure)
|-
|<code>business-centeral.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>transportation-central-business[.]com</code>
|Infraestructura C2
|-
|<code>licensemanagers.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>licensesupporting.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>peerdistsvcmanagers.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>nanomatrix.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>premierhealthadvisory[.]com</code>
|Infraestructura C2
|-
|<code>ramiltonsfinance[.]com</code>
|Infraestructura C2
|-
|<code>globalitconsultants.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>global-it-checkers.azurewebsites[.]net</code>
|Infraestructura C2
|-
|<code>getsqldeveloper[.]com</code>
|Sitio falso de SQL Developer (SEO poisoning)
|}

=== Certificados Abusados (Firmas Digitales SSL.com) ===
{| class="wikitable"
!Titular del Certificado
|-
|Gray Matter Software S.R.L.
|-
|Kirubel Kerie Negeya
|}

=== Rutas y Nombres de Archivo ===
{| class="wikitable"
!Tipo
!Ruta / Nombre
|-
|Persistencia (legítimo secuestrado)
|<code>ZoomUpdateTaskUser-{SID}</code>
|-
|Directorio de segunda etapa
|<code>C:\Users\<USER>\AppData\Local\Zoom\bin\update\</code>
|-
|Ejecutable de segunda etapa
|<code>Update.exe</code> (copia de binario firmado por Microsoft)
|-
|Cargador de segunda etapa
|<code>Updater.dll</code>
|-
|Puerta trasera final
|<code>UpdateChecker.dll</code> (MiniFast)
|}

== Comportamiento Anómalo (Indicadores de Nivel Superior) ==
{| class="wikitable"
!Categoría
!Comportamiento
|-
|Procesos
|<code>update.exe</code> ejecutándose con <code>svchost.exe</code> como proceso padre
|-
|Tareas Programadas
|Tarea <code>ZoomUpdateTaskUser-{SID}</code> modificada para ejecutar <code>Update.exe</code>
|-
|Archivos
|DLL maliciosas en <code>%AppData%\Local\Zoom\bin\update\</code>
|-
|Red
|Tráfico HTTP/HTTPS a Azure Websites con User-Agent de Chrome
|-
|Instalación
|Instalador de Zoom ejecutándose simultáneamente con ventanas falsas de progreso
|}

== Etiquetas / Categorías ==
<code>nimbus-manticore</code> <code>unc1549</code> <code>irgc</code> <code>iran-cyber</code> <code>zoom-malware</code> <code>miniFast</code> <code>minijunk</code> <code>appdomain-hijacking</code> <code>seo-poisoning</code> <code>check-point-research</code> <code>epic-fury</code> <code>operation-epic-fury</code> <code>supply-chain-attack</code> <code>trojanized-installer</code> <code>azure-c2</code> <code>ai-assisted-malware</code> <code>sql-developer-fake</code> <code>us-aviation-targeting</code> <code>deeba-ahmed</code>