Un conocido grupo de amenazas iraní ha implementado una nueva táctica para distribuir malware. En lugar de utilizar correos de phishing, crearon un sitio web falso que suplanta una página de descarga de software de bases de datos, empleando técnicas de SEO poisoning (envenenamiento de motores de búsqueda) para aparecer entre los primeros resultados y engañar a los usuarios que buscan la herramienta en línea.

Un conocido grupo de amenazas iraní ha encontrado una nueva forma de introducir malware en los equipos de la gente. En lugar de enviar correos electrónicos de phishing, el grupo creó un sitio web falso que suplantaba una página real de descarga de software de bases de datos y utilizó trucos de motores de búsqueda para posicionarlo entre los primeros resultados.

Cualquiera que buscara la herramienta en línea y hiciera clic en el enlace equivocado terminó con una puerta trasera instalada silenciosamente en su sistema.

El grupo detrás de esta actividad es Nimbus Manticore, también rastreado como UNC1549, y opera bajo el Cuerpo de la Guardia Revolucionaria Islámica (IRGC) de Irán.

El grupo tiene un largo historial de dirigirse a profesionales del software y la aviación mediante señuelos de phishing temáticos de carrera profesional. Lo que hace diferente a esta última ola es el uso de la manipulación de motores de búsqueda como mecanismo de entrega, algo que los investigadores no habían observado en este grupo anteriormente.

Analistas de Check Point Research identificaron esta actividad en tres oleadas entre febrero y abril de 2026, coincidiendo y siguiendo a la campaña militar de EE. UU. contra Irán conocida como Operación Epic Fury.

Según Check Point dijo en un informe el grupo mostró una fuerte capacidad para adaptar herramientas rápidamente y mantener la infraestructura incluso bajo condiciones activas de guerra.

La ola más reciente, que los investigadores llaman la campaña "SQL Developer", se desarrolló en abril de 2026. Los atacantes registraron un dominio falso llamado getsqldeveloper[.]com que imitaba una página de descarga legítima de SQL Developer de Oracle, una herramienta de gestión de bases de datos muy utilizada.

Los usuarios que visitaron el sitio e intentaron realizar una descarga recibieron un instalador malintencionado que desplegó silenciosamente una puerta trasera recién descubierta llamada MiniFast.

La operación se basó en más que un solo sitio falso. Los atacantes registraron docenas de dominios que apuntaban a la página falsa principal, impulsando su clasificación a través de señales basadas en enlaces.

El sitio también incluyó frases repetitivas como "Descargar SQL Developer" para subir en los resultados de búsqueda. En el momento del análisis, el dominio falso aparecía cerca de la parte superior de los resultados de Bing y DuckDuckGo para el término de búsqueda "sql developer".

El APT iraní utiliza envenenamiento de SEO

El cambio al envenenamiento de SEO marca un cambio real en cómo Nimbus Manticore ejecuta sus operaciones. Sus campañas anteriores casi siempre dependían de correos electrónicos de phishing personalizados con ofertas de trabajo falsas dirigidos a empleados de empresas de aviación y software.

Esta vez, en lugar de acercarse a los objetivos directamente, el grupo se posicionó en el camino de los usuarios que ya estaban buscando una pieza de software confiable.

El sitio falso fue diseñado para parecer una página de descarga real. Una vez que el usuario ejecutaba el instalador, la infección comenzaba silenciosamente en segundo plano utilizando una técnica llamada AppDomain hijacking, que abusa de la forma en que el entorno de ejecución de .NET carga los archivos de configuración de la aplicación.

Esto permitió que la DLL maliciosa se ejecutara dentro del contexto de un proceso legítimo y confiable sin levantar sospechas inmediatas.

Puerta trasera MiniFast y desarrollo asistido por IA

MiniFast es una DLL de Windows de 64 bits que funciona como una puerta trasera completa diseñada para el acceso remoto a largo plazo.

Se comunica con los servidores del atacante utilizando endpoints HTTP estructurados y disfraza su tráfico suplantando un navegador Chrome a través de una cadena de User-Agent codificada.

Los operadores pueden usarla para ejecutar comandos de shell, gestionar archivos, listar procesos en ejecución, cargar datos e incluso intentar la escalada de privilegios.

Los investigadores de Check Point también encontraron señales claras de que el malware fue desarrollado con ayuda de herramientas de IA. El código incluye un manejo de errores excesivo, nombres de funciones muy descriptivos y mensajes de depuración detallados, que son patrones comunes en el código generado por IA.

Parece que el grupo está utilizando modelos de lenguaje extensos para acelerar el desarrollo y lanzar herramientas actualizadas más rápido bajo la presión operativa de tiempo de guerra.

Se recomienda encarecidamente a los equipos de seguridad monitorear cambios inesperados en las tareas programadas y comportamientos inusuales de carga de DLL, ya que estos son centrales en el método de ataque del grupo.

Tú y tu organización deberían descargar siempre el software directamente desde los sitios oficiales del proveedor en lugar de confiar en los resultados de los motores de búsqueda, ya que el envenenamiento de SEO puede posicionar páginas falsas por delante de las genuinas con muy poca advertencia.

Indicadores de Compromiso (IoCs):-

Nota: Las direcciones IP y los dominios han sido "desactivados" intencionalmente (por ejemplo, con [.]) para evitar la resolución accidental o el hipervínculo. Reactívalos solo dentro de plataformas de inteligencia de amenazas controladas como MISP, VirusTotal o tu SIEM.