A equipe da Check Point Research (CPR), divisão de inteligência de ameaças da Check Point Software, divulgou relatório detalhando operações recentes do grupo Nimbus Manticore, associado à Guarda Revolucionária Islâmica do Irã (IRGC – Islamic Revolutionary Guard Corps), durante o contexto do conflito regional no Oriente Médio. Os pesquisadores apontam campanhas direcionadas aos setores de aviação e software em países da Europa e de Oriente Médio e nos Estados Unidos, além de uma nova onda de ataques baseada em envenenamento de SEO (SEO poisoning) ou manipulação de resultados de busca.
Segundo a equipe da CPR, o grupo operou em pelo menos três ondas distintas de campanha entre fevereiro e abril de 2026, incluindo fases anteriores ao conflito, operações durante a chamada Operation Epic Fury (Operação Fúria Épica) e atividades posteriores ao cessar-fogo.
Entre os principais resultados do relatório está a identificação, pela primeira vez, do uso de envenenamento de SEO como vetor adicional de distribuição de malware pelo grupo. Em vez de depender exclusivamente de spear phishing e falsas ofertas de emprego, os operadores criaram páginas falsas de download de softwares amplamente utilizados e otimizaram esses conteúdos para aparecerem entre os primeiros resultados de mecanismos de busca como Bing e DuckDuckGo.
A CPR também identificou indícios compatíveis com práticas de desenvolvimento de malware assistidas por inteligência artificial. Os pesquisadores observaram características como estruturas altamente modulares, nomenclaturas excessivamente descritivas e tratamento extensivo de erros, elementos que podem indicar apoio de ferramentas baseadas em IA no desenvolvimento do código malicioso.
“Um dos pontos mais relevantes é que as ambições desse grupo foram muito além da espionagem direcionada no Oriente Médio. Identificamos fortes indícios de práticas de desenvolvimento assistido por IA para acelerar a criação de malware. O grupo construiu e implantou um novo backdoor enquanto as operações ainda estavam em andamento”, afirma Sergey Shykevich, gerente do Grupo de Inteligência de Ameaças na Check Point Research.
Segundo o executivo, a terceira onda de campanha chamou atenção pelo uso de uma abordagem completamente diferente das anteriores. “Também rastreamos uma terceira onda baseada em SEO poisoning. Os operadores criaram uma página falsa de download de software e a posicionaram entre os principais resultados de busca do Bing e do DuckDuckGo. Nesse modelo, não há spear phishing ou falsa oferta de emprego, pois o ataque depende apenas de o usuário buscar um software legítimo”, explica Shykevich.
O relatório ainda destaca que as campanhas demonstraram continuidade operacional ao longo de todo o período analisado. “Quando analisamos as três ondas de campanha em conjunto, entre fevereiro e abril, fica claro que as operações não desaceleraram durante o conflito. Pelo contrário, os indícios apontam para uma aceleração das atividades”, conclui Shykevich.
