案例 checkpoint-nimbus-manticore-minifast国家行为者 AI 行动全球
Nimbus Manticore的MiniFast后门显示伊朗冲突期间的AI辅助编码
Check Point追踪到Nimbus Manticore在2026年2月至4月间的三波攻击，通过求职诱饵、木马化Zoom安装程序和SEO投毒投递新的MiniFast后门，代码带有LLM辅助开发的特征。
高利用 AI 的攻击状态: 进行中已核实案例档案
- 报道日期
- 2026年5月22日
- 地点
- 全球
- 目标
- 美国和中东的航空、国防、电信和政府部门
- 严重程度
- 高
- 发起者
- Nimbus Manticore（UNC1549）
- 行为者类型
- 国家支持
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
Check Point追踪到Nimbus Manticore在2026年2月至4月间的三波攻击，通过求职诱饵、木马化Zoom安装程序和SEO投毒投递新的MiniFast后门，代码带有LLM辅助开发的特征。
影响: 针对航空和国防目标部署了长期访问后门；受害者数量未披露。
谁发起了攻击
行为者: Nimbus Manticore（UNC1549）
归因: Check Point归因于与伊斯兰革命卫队有关的Nimbus Manticore；AI辅助根据冗长的错误处理、描述性命名和调试字符串评估得出。
动机: “史诗之怒”行动期间的间谍活动和访问
如何发生
攻击途径: 带有签名宿主二进制文件和AppDomain劫持的职业主题ZIP、劫持更新任务的木马化Zoom安装程序、SEO投毒的虚假下载网站
根本原因: AI工具缩短了开发时间，使该行为者得以在冲突期间推出新的加载器和MiniFast
时间线
- 第一波“紧张升级”使用AppDomain劫持和MiniJunk
- “史诗之怒”行动开始；第二波通过Zoom安装程序引入MiniFast
- 停火后通过getsqldeveloper网站进行SEO投毒
- Check Point发布报告
应对
Check Point发布了IOC；SSL.com签发的签名证书被滥用。
当前状态: 进行中
来源（在新标签页打开）
- Check Point Research research.checkpoint.com
- PolySwarm blog.polyswarm.io
- The Hacker News thehackernews.com
引用此案例
Nimbus Manticore的MiniFast后门显示伊朗冲突期间的AI辅助编码. AI Threat Watch, 案例 checkpoint-nimbus-manticore-minifast, 2026年5月22日. https://aithreat.io/zh/cases/checkpoint-nimbus-manticore-minifast/
永久链接: https://aithreat.io/zh/cases/checkpoint-nimbus-manticore-minifast/