Check Point Research tarafından yapılan yeni bir analize göre, İran Devrim Muhafızları (IRGC) bağlantılı Nimbus Manticore adlı siber saldırı grubu, Şubat-Nisan 2026 arasında üç dalga halinde ABD havacılık sektörünü hedef aldı. Bu saldırılar, ABD’nin 28 Şubat’ta başlattığı Epic Fury Operasyonu ile aynı döneme denk geldi. Grup, daha önce savunma, havacılık ve telekomünikasyon sektörlerine yönelik kariyer temalı oltalama saldırılarıyla biliniyordu.
Bu kampanyada dikkat çeken en önemli yenilik, grubun ilk kez arama motoru zehirleme (SEO poisoning) yöntemini kullanması oldu. Nisan ayında, sahte Oracle SQL Developer indirme sayfaları oluşturan saldırganlar, bu sayfaları arama sonuçlarında üst sıralara çıkarmak için anahtar kelimelerle doldurdu. Analiz sırasında, bu sahte site Bing ve DuckDuckGo’da gerçek yazılım aramalarında üst sıralarda yer alıyordu. Bu, grubun doğrudan oltalama yerine arama motoru zehirleme kullandığı ilk vaka oldu.
Önceki dalgalarda ise daha tanıdık yöntemler kullanıldı. Saldırganlar, sahte Zoom yükleyicileri ve OnlyOffice platformunda barındırılan ZIP arşivleri aracılığıyla truva atı bulaştırdı. Ayrıca, AppDomain hijacking tekniğiyle güvenilir .NET uygulamalarının yanına değiştirilmiş yapılandırma dosyaları yerleştirerek kötü amaçlı DLL yüklemeyi başardılar.
Kampanyada ayrıca MiniFast adlı yeni bir backdoor tespit edildi. 64-bit Windows DLL’si olarak çalışan MiniFast, Chrome tarayıcı trafiğini taklit ederek JSON üzerinden komut ve kontrol (C2) sunucusuyla iletişim kuruyor. Check Point, bu backdoor ve yükleyicilerin yapay zeka destekli geliştirildiğini, aşırı hata yönetimi ve tekrarlayan adlandırma desenleri gibi işaretler taşıdığını belirtti. Bu durum, grubun savaş ortamında bile hızlı araç geliştirmeye devam etmesini sağladı.
