Campaña de Nimbus Manticore (UNC1549): Instaladores de Zoom Infectados y Envenenamiento SEO contra Empresas Estadounidenses (2026)
Nombres Alternativos / Aliases
- Nimbus Manticore Campaign (Por el nombre del grupo)
- UNC1549 Zoom Installer Trojan (Por el identificador del grupo y el vector)
- MiniFast Backdoor Operation (Por el nombre del malware)
- IRGC-Affiliated Software Supply Chain Attack (Por la atribución)
- Operación Furia Épica Cibernética (Por el contexto geopolítico)
Fecha de Detección / Actividad
- Período de Mayor Actividad: Febrero – abril de 2026
- Operación Militar de Contexto: Operación Furia Épica (lanzada el 28 de febrero de 2026)
- Fecha del Informe de Check Point Research (CPR): 22 y 27 de mayo de 2026
- Estado: Activo. El grupo continúa evolucionando sus técnicas.
Actor de Amenaza (Atribución)
- Nombre del Actor: Nimbus Manticore (también conocido como UNC1549)
- Vínculo Gubernamental: Cuerpo de la Guardia Revolucionaria Islámica (IRGC) de Irán
- Tipo de Actor: Grupo de ciberdelincuencia patrocinado por el estado, especializado en espionaje y recopilación de inteligencia.
- Sofisticación: Alta. El grupo demuestra:
- Técnicas avanzadas de secuestro de AppDomain (AppDomain Hijacking)
- Desarrollo de malware asistido por IA (código limpio, manejo exhaustivo de errores)
- Abuso de tareas programadas legítimas de Zoom para persistencia
- Envenenamiento SEO (SEO poisoning) para distribuir malware
- Suplantación de identidad de navegadores (Chrome) para evasión
- Múltiples familias de malware (MiniJunk, MiniFast)
Resumen Ejecutivo
Entre febrero y abril de 2026, en el contexto de la Operación Furia Épica (campaña militar estadounidense contra Irán lanzada el 28 de febrero de 2026), el grupo iraní Nimbus Manticore (UNC1549) , afiliado a la Guardia Revolucionaria Islámica (IRGC) , llevó a cabo una serie de ciberataques contra objetivos en Estados Unidos, Europa y Oriente Medio, con un enfoque particular en los sectores de aviación y software.
La campaña evolucionó a través de tres oleadas distintas:
Oleada 1 (Febrero 2026): Ofertas de trabajo falsas con secuestro de AppDomain
El grupo atacó a trabajadores en Arabia Saudita y Australia con ofertas de trabajo falsas alojadas en OnlyOffice. Las víctimas descargaban un archivo ZIP que contenía un binario legítimo de Microsoft (Setup.exe) junto con un archivo de configuración malicioso (Setup.exe.config). Mediante la técnica de secuestro de AppDomain, el sistema era engañado para cargar y ejecutar un dropper malicioso (uevmonitor.dll) que desplegaba la puerta trasera MiniJunk.
Oleada 2 (Marzo 2026 – durante la Operación Furia Épica): Instaladores de Zoom infectados
El grupo cambió a invitaciones falsas de reuniones de Zoom que contenían un archivo Zoominstall64.zip. Este archivo incluía un instalador legítimo de Zoom (Zoom_cm.exe) para ocultar el ataque. A través del secuestro de AppDomain, se desplegaba silenciosamente una nueva puerta trasera llamada MiniFast mediante InitInstall.dll.
Técnica de persistencia innovadora: El malware secuestraba una tarea programada real de Windows creada por el instalador de Zoom (ZoomUpdateTaskUser-{SID}) para mantenerse oculto en el sistema, en lugar de crear un mecanismo de persistencia sospechoso.
Uso de IA en el desarrollo de malware: Check Point Research identificó múltiples indicadores de desarrollo asistido por IA en MiniFast:
- Manejo exhaustivo de errores incluso para llamadas API simples (ej.
GetUserName) - Patrones repetitivos de nombres de funciones descriptivos
- Cadenas de reporte de errores detalladas en estilo depuración
- Organización modular del código
- Código excepcionalmente limpio y bien estructurado
Oleada 3 (Abril 2026): Envenenamiento SEO – Falso SQL Developer
El grupo abandonó el correo electrónico para dedicarse al envenenamiento de motores de búsqueda (SEO poisoning). Crearon un sitio web falso, getsqldeveloper[.]com, que imitaba la página de descarga de SQL Developer de Oracle. Registraron decenas de dominios que enlazaban al sitio falso y utilizaron relleno de palabras clave para posicionarlo en los primeros resultados de Bing y DuckDuckGo. Los desarrolladores que buscaban descargar SQL Developer legítimo eran engañados para descargar un instalador malicioso que contenía la puerta trasera MiniFast.
Vectores de Ataque / Métodos de Distribución
Oleada 1: Ofertas de trabajo falsas
- Señuelo: Correo de phishing con oferta de trabajo falsa
- Plataforma de alojamiento: OnlyOffice (ZIP alojado)
- Contenido del ZIP:
Setup.exe(binario legítimo firmado por Microsoft)Setup.exe.config(archivo de configuración de secuestro de AppDomain)uevmonitor.dll(dropper de primera etapa)Interop.TaskScheduler.dll(DLL benigna)
- Mecanismo: Secuestro de AppDomain → carga de
uevmonitor.dll→ despliegue de MiniJunk
Oleada 2: Instaladores de Zoom infectados
- Señuelo: Invitación falsa a reunión de Zoom
- Archivo:
Zoominstall64.zip - Contenido del ZIP:
Setup.exe(binario legítimo de Microsoft –ServiceHub.VSDetouredHost.exe)Setup.exe.config(secuestro de AppDomain → apunta aInitInstall.dll)InitInstall.dll(cargador de primera etapa)Zoom_cm.exe(instalador legítimo de Zoom)UpdateConfig.xml(archivo de configuración para segunda etapa)Updater.dll(cargador de segunda etapa)UpdateChecker.dll(carga útil final – MiniFast)
- Mecanismo:
- Secuestro de AppDomain carga
InitInstall.dll - El dropper muestra una ventana falsa de progreso de instalación
- Ejecuta el instalador legítimo de Zoom (
Zoom_cm.exe) para ocultar el ataque - Espera la creación de la tarea programada
ZoomUpdateTaskUser-{SID} - Secuestra la tarea para ejecutar la segunda etapa
- Carga de
UpdateChecker.dll(MiniFast)
- Secuestro de AppDomain carga
Oleada 3: Envenenamiento SEO – Falso SQL Developer
- Señuelo: Sitio web falso
getsqldeveloper[.]comimitando a Oracle SQL Developer - Método de distribución: Optimización de motores de búsqueda (SEO poisoning)
- Técnicas SEO: Relleno de palabras clave, docenas de dominios enlazados
- Motores de búsqueda afectados: Bing, DuckDuckGo (primeros resultados para "sql developer")
- Contenido descargado: Instalador malicioso con puerta trasera MiniFast
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Initial Access (TA0001) | Phishing (T1566) - Spearphishing Attachment (T1566.001) | Correos con ofertas de trabajo falsas o invitaciones a Zoom. |
| Initial Access (TA0001) | Drive-by Compromise (T1189) | Envenenamiento SEO – sitio falso de SQL Developer. |
| Execution (TA0002) | User Execution: Malicious Link (T1204.001) | Usuario descarga y ejecuta el archivo ZIP. |
| Execution (TA0002) | Command and Scripting Interpreter: .NET (T1059.005) | Secuestro de AppDomain en aplicaciones .NET. |
| Persistence (TA0003) | Scheduled Task/Job (T1053) - Scheduled Task (T1053.005) | Secuestro de ZoomUpdateTaskUser-{SID} para persistencia.
|
| Defense Evasion (TA0005) | Masquerading (T1036) | Instalador legítimo de Zoom oculta el ataque. Tarea programada legítima secuestrada. |
| Defense Evasion (TA0005) | Obfuscated Files or Information (T1027) | Cadenas ofuscadas con ROT13 y cadenas invertidas. |
| Defense Evasion (TA0005) | Trusted Developer Utilities (T1127) | Abuso de binarios firmados por Microsoft. |
| Defense Evasion (TA0005) | Virtualization/Sandbox Evasion (T1497) | Validación de cadena de procesos (update.exe → svchost.exe).
|
| Discovery (TA0007) | System Information Discovery (T1082) | MiniFast recopila nombre de usuario, hostname, dominio. |
| Discovery (TA0007) | Process Discovery (T1057) | Enumeración de procesos (comando 0x05). |
| Discovery (TA0007) | File and Directory Discovery (T1083) | Listado de directorios (comando 0x02). |
| Command and Control (TA0011) | Application Layer Protocol: Web Protocols (T1071.001) | C2 vía HTTPS con JSON y estructuras Base64. |
| Command and Control (TA0011) | Web Service (T1102) | Uso de Azure Websites para infraestructura C2. |
| Command and Control (TA0011) | Encrypted Channel (T1573) | Tráfico TLS. |
| Command and Control (TA0011) | User Agent Spoofing | Suplantación de Chrome: Mozilla/5.0 (...) Chrome/146.0.0.0
|
| Collection (TA0009) | Data from Local System (T1005) | MiniFast puede subir archivos locales al C2. |
| Exfiltration (TA0010) | Exfiltration Over C2 Channel (T1041) | Subida de archivos vía /upload/ endpoint.
|
| Impact (TA0040) | Data Manipulation (T1565) | No destructivo; enfoque en espionaje y recopilación. |
MiniFast – Análisis Técnico de la Puerta Trasera
MiniFast es una DLL de 64 bits que exporta una función CheckForUpdates. La puerta trasera implementa una arquitectura de comandos completa con 18 códigos de operación diferentes:
| Código | Capacidad | Descripción |
|---|---|---|
| 0x02 | Listar directorio | Enumeración de archivos y carpetas |
| 0x03 | Mover/Renombrar | Mover o renombrar archivos/directorios |
| 0x04 | Ejecutar comando | cmd.exe /c con captura de salida
|
| 0x05 | Enumerar procesos | Lista de procesos con PID |
| 0x06 | Eliminar archivo/directorio | Eliminación según tipo |
| 0x07 | Descargar archivo | Desde C2 a máquina local |
| 0x08 | Subir archivo | Desde máquina local a C2 |
| 0x09 | Enumerar unidades | Unidades lógicas disponibles |
| 0x0A | Eliminar proceso | Finalizar por PID |
| 0x0B | Cargar DLL | Carga dinámica con exportación específica |
| 0x0C | Crear directorio | Nuevo directorio en la víctima |
| 0x0D | Crear archivo ZIP | Compresión de archivos/directorios |
| 0xB0 | Solicitar elevación UAC | Reinicio con runas
|
| 0xB1 | Instalar persistencia | Crea tarea WindowsSecurityUpdate
|
| 0xF0 | Establecer intervalo de sondeo | Ajuste dinámico de baliza |
| 0xF1 | Comando inactivo | Reconocimiento sin acción |
| 0xF2 | Ajustar jitter | Variación en intervalos de baliza |
Endpoints C2 de MiniFast:
| URI | Método | Propósito |
|---|---|---|
/rg
|
POST | Primer handshake (obtiene socketId) |
/agent/init
|
POST | Registro inicial de la víctima |
/agent/poll?token=
|
GET | Recuperación de tareas |
/agent/result
|
POST | Carga de resultados de ejecución |
/upload/
|
PUT | Exfiltración de archivos |
/files/
|
GET | Descarga de archivos desde C2 |
Infraestructura Utilizada
| Tipo | Indicador | Propósito |
|---|---|---|
| Plataforma de alojamiento legítimo | OnlyOffice | Alojamiento de ZIP con ofertas de trabajo falsas |
| Plataforma de alojamiento legítimo | Azure Websites | Alojamiento de infraestructura C2 |
| Dominios falsos | getsqldeveloper[.]com | Sitio falso de SQL Developer (SEO poisoning) |
| Certificados de firma (abuso) | Gray Matter Software S.R.L., Kirubel Kerie Negeya (SSL.com) | Firma de archivos maliciosos |
| Binarios legítimos abusados | Setup.exe (Microsoft), Zoom_cm.exe (Zoom)
|
Carga lateral y ocultamiento |
| Tarea programada secuestrada | ZoomUpdateTaskUser-{SID}
|
Persistencia |
Objetivos y Sectores Afectados
- Sectores Estratégicos:
- Aviación (principal objetivo en EE. UU.)
- Desarrollo de software
- Defensa
- Telecomunicaciones
- Distribución Geográfica:
- Estados Unidos (nuevo objetivo en esta campaña)
- Israel
- Emiratos Árabes Unidos
- Arabia Saudita
- Australia
- Europa Occidental
- Tipo de Víctimas: Empleados de aerolíneas, desarrolladores de software, organizaciones gubernamentales y privadas
Impacto y Riesgo
- Nivel de Riesgo: Alto para las organizaciones objetivo (espionaje industrial, robo de propiedad intelectual). Medio para usuarios individuales (compromiso de sistemas).
- Capacidades del Malware (MiniFast):
- Control remoto completo (
cmd.exe) - Exfiltración de archivos
- Descarga de herramientas adicionales
- Elevación de privilegios (UAC bypass)
- Persistencia a largo plazo
- Control remoto completo (
- Técnicas de Evasión:
- Secuestro de tareas programadas legítimas de Zoom
- Binarios firmados por Microsoft
- Validación de cadena de procesos (evasión de sandbox)
- Suplantación de User-Agent de Chrome
- Contexto Geopolítico: La campaña coincide con la Operación Furia Épica (campaña militar estadounidense contra Irán), lo que sugiere que los ataques cibernéticos forman parte de una estrategia más amplia de inteligencia y posible represalia.
Recomendaciones de Mitigación
Para Usuarios:
- Descargar software solo de fuentes oficiales: Evitar sitios de terceros para descargar Zoom, SQL Developer u otras aplicaciones.
- Verificar URLs: Antes de descargar, verificar que el dominio sea el oficial (ej.
zoom.us,oracle.com). - Desconfiar de ofertas de trabajo no solicitadas: Especialmente aquellas que requieren descargar archivos ZIP.
- No ejecutar archivos de fuentes no verificadas: Incluso si contienen binarios aparentemente legítimos.
Para Organizaciones:
- Monitoreo de tareas programadas: Auditar tareas programadas, especialmente aquellas relacionadas con aplicaciones comunes (Zoom, Chrome, etc.), para detectar modificaciones no autorizadas.
- Restricción de AppDomain Hijacking: Implementar políticas de seguridad en .NET que restrinjan el uso de
AppDomainManagerno autorizado. - Detección de abuso de binarios firmados: Monitorear la ejecución de binarios de Microsoft desde ubicaciones no estándar (ej.
%AppData%\Local\Packages\). - Bloqueo de dominios C2: Implementar feeds de inteligencia de amenazas para bloquear los dominios de Azure Websites identificados.
- Segmentación de red: Limitar el acceso a sistemas críticos desde estaciones de trabajo de empleados.
- Educación en seguridad: Capacitar a empleados sobre envenenamiento SEO y técnicas de phishing avanzadas.
Herramientas de Detección
- EDR: Detección de carga lateral de DLL, secuestro de AppDomain, y ejecución de comandos anómalos (
cmd.exedesde procesos no esperados). - SIEM: Correlación de logs de creación/modificación de tareas programadas y ejecución de binarios desde ubicaciones de
AppData. - Monitoreo de Red: Detección de tráfico hacia Azure Websites con patrones JSON/Base64 característicos.
- Yara Rules: Reglas para identificar MiniFast y MiniJunk basadas en cadenas de error y estructuras de exportación.
Referencias y Fuentes
- Ahmed, D. (2026, 27 de mayo). Iranian Nimbus Manticore used trojanized Zoom installers against US companies. (Artículo proporcionado por el usuario)
- Check Point Research (CPR). (2026, 22 de mayo). Fast and Furious: Nimbus Manticore Operations During Iran Conflict.
- Check Point Research. (2026). Nimbus Manticore (UNC1549) Campaign Analysis.
- MITRE ATT&CK Framework. Enterprise Matrix.
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-05-28 | 1.0 | Asistente | Creación inicial basada en el artículo de Deeba Ahmed y el informe de Check Point Research. |
Indicadores de Compromiso (IOCs)
Hashes SHA-256 (Muestras de Malware)
| Hash | Descripción |
|---|---|
10fd541674adadfbba99b54280f7e59732746faf2b10ce68521866f737f1e46d
|
MiniFast / Componente malicioso |
eee657ffdb2af8ed6412221e7d5fbf4f5742f2ac2c88f43f12db46af0697de71
|
MiniFast / Componente malicioso |
781605ce9d4a9869e846f6c9657d71437cb6240ab27ffbc4cd550c0e06996690
|
MiniFast / Componente malicioso |
2c214494fd0bad31473ca8adce78a4f50847876584571e66aadeae70827ec2dc
|
MiniFast / Componente malicioso |
f08b17856616d66492a24dced27f788e235f35f42fa7cd10f315000d3a2f4c03
|
MiniFast / Componente malicioso |
a57ffb819fe8d98ff925c5d7b239598fe302acf5a13193d7a535040a71298fdf
|
MiniFast / Componente malicioso |
63d0d3c4a7f71bdbca720903d6a99b832089cc093c64d2938e7e001e56c17ab4
|
MiniFast / Componente malicioso |
74882085db2088356ed7f72f01e0404a0a98cda88ef56fb15ce74c1f36b26d27
|
MiniFast / Componente malicioso |
bc3b44154518c5794ce639108e7b9c5fecb0c189607a26de1aaed518d890c7ad
|
MiniFast / Componente malicioso |
ecaf493c320d201d285ef5f61d75744216e47cf1115b4af528f9a78883cc446e
|
MiniFast / Componente malicioso |
44f4f7aca7f1d9bfdaf7b3736934cbe19f851a707662f8f0b0c49b383e054250
|
MiniFast / Componente malicioso |
0db36a04d304ad96f9e6f97b531934594cd95a5cea9ff2c9af249201089dc864
|
MiniFast / Componente malicioso |
485f182f7b74ea4013b2539275a95d21e3a9bf0082c331937af9353a324b36f3
|
MiniFast / Componente malicioso |
64530d7e6ee30e4a66d9eeed6b8595c33fd72f5f73409133ca40539e5695df4c
|
MiniFast / Componente malicioso |
332ba2f0297dfb1599adecc3e9067893e7cf243aa23aedce4906a4c480574c17
|
MiniFast / Componente malicioso |
9e4a658e6d831c9e9bdfe11884a75b7c64812ed0a80e8495ddf6b316505acac1
|
MiniFast / Componente malicioso |
43dc62cef52ebdd69e79f10015b3e13890f26c058325c0ff139c70f8d8eadcfa
|
MiniFast / Componente malicioso |
8808c794c24367438f183e4be941876f1d3ecd0c8d2eb43b10d2380841d2283b
|
MiniFast / Componente malicioso |
5c3362d20229597d11380f56d1f2eb39647fb6afad7be8392a7abcd18dff12f8
|
MiniFast / Componente malicioso |
0291ef318576953f7f3fe287e7775ed1d7c3206119dc7b9cd6d85c02779e6e40
|
MiniFast / Componente malicioso |
d4a7e9f107fe40c1a5d0139c6c6e25bf6bf57f61feff090bee28f476bb3cc3c2
|
MiniFast / Componente malicioso |
38bd137c672bd58d08c4f0502f993a6561e2c3411773d1ae57ee0151a0a9d11d
|
MiniFast / Componente malicioso |
f54cd38632ac9da3af3533ae93e92625cbcb04df521dbf1b6acfaa81218f9e8c
|
MiniFast / Componente malicioso |
b19e06da580cf91691eda066ac9ee4b09c6e5dc26c367af12660fe1f9306eec4
|
MiniFast / Componente malicioso |
9cf029daca89523d917dafed0568d11d00e45ec96b5b90b4a1f7fd4018c7da84
|
MiniFast / Componente malicioso |
a13ba3c5aff46e9daf2d23df4b3e3d49dc7236c207c56f0a1433051f3450d441
|
MiniFast / Componente malicioso |
dfa1e3137a032ee8561a1cd5e1a0f71a10bebb36aef7c336c878638a9c1239ee
|
MiniFast / Componente malicioso |
Dominios Maliciosos (Defang)
| Dominio | Propósito |
|---|---|
empresa-startup[.]org
|
Infraestructura C2 |
azurebusiness-startupwebsite[.]net
|
Infraestructura C2 (Azure) |
business-centeral.azurewebsites[.]net
|
Infraestructura C2 |
transportation-central-business[.]com
|
Infraestructura C2 |
licensemanagers.azurewebsites[.]net
|
Infraestructura C2 |
licensesupporting.azurewebsites[.]net
|
Infraestructura C2 |
peerdistsvcmanagers.azurewebsites[.]net
|
Infraestructura C2 |
nanomatrix.azurewebsites[.]net
|
Infraestructura C2 |
premierhealthadvisory[.]com
|
Infraestructura C2 |
ramiltonsfinance[.]com
|
Infraestructura C2 |
globalitconsultants.azurewebsites[.]net
|
Infraestructura C2 |
global-it-checkers.azurewebsites[.]net
|
Infraestructura C2 |
getsqldeveloper[.]com
|
Sitio falso de SQL Developer (SEO poisoning) |
Certificados Abusados (Firmas Digitales SSL.com)
| Titular del Certificado |
|---|
| Gray Matter Software S.R.L. |
| Kirubel Kerie Negeya |
Rutas y Nombres de Archivo
| Tipo | Ruta / Nombre |
|---|---|
| Persistencia (legítimo secuestrado) | ZoomUpdateTaskUser-{SID}
|
| Directorio de segunda etapa | C:\Users\<USER>\AppData\Local\Zoom\bin\update\
|
| Ejecutable de segunda etapa | Update.exe (copia de binario firmado por Microsoft)
|
| Cargador de segunda etapa | Updater.dll
|
| Puerta trasera final | UpdateChecker.dll (MiniFast)
|
Comportamiento Anómalo (Indicadores de Nivel Superior)
| Categoría | Comportamiento |
|---|---|
| Procesos | update.exe ejecutándose con svchost.exe como proceso padre
|
| Tareas Programadas | Tarea ZoomUpdateTaskUser-{SID} modificada para ejecutar Update.exe
|
| Archivos | DLL maliciosas en %AppData%\Local\Zoom\bin\update\
|
| Red | Tráfico HTTP/HTTPS a Azure Websites con User-Agent de Chrome |
| Instalación | Instalador de Zoom ejecutándose simultáneamente con ventanas falsas de progreso |
Etiquetas / Categorías
nimbus-manticore unc1549 irgc iran-cyber zoom-malware miniFast minijunk appdomain-hijacking seo-poisoning check-point-research epic-fury operation-epic-fury supply-chain-attack trojanized-installer azure-c2 ai-assisted-malware sql-developer-fake us-aviation-targeting deeba-ahmed