Mirage Kitten, il nuovo arsenale di spionaggio: NightLedger e i tunnel che trasformano le vittime in relay

Il gruppo di spionaggio noto come Mirage Kitten ha ampliato il proprio arsenale con un impianto Windows finora non documentato e due strumenti di tunneling su WebSocket. Lo scrive il team GReAT di Kaspersky in una ricerca di Securelist pubblicata il 28 luglio 2026. L’elemento operativo di maggiore interesse non è un nuovo exploit, ma il modo in cui il gruppo rende silenziosa e difficile da attribuire l’esfiltrazione: le macchine compromesse diventano nodi di inoltro (relay) del traffico dell’attaccante.

Si tratta di spionaggio, non di estorsione. Kaspersky descrive Mirage Kitten come APT di cyber-spionaggio senza indicarne la nazionalità; l’attribuzione all’Iran arriva dagli altri vendor, con Check Point che lo qualifica come attore iraniano affiliato all’IRGC e Unit 42 che lo colloca tra i gruppi Iran-nexus allineati agli obiettivi dell’intelligence di Teheran.

Storicamente il gruppo colpisce aerospazio, aviazione, difesa e telecomunicazioni, ma la victimology di questa campagna è più ampia e tocca anche i comparti governativo e finanziario: Kaspersky elenca vittime in Egitto, ambienti PMI e governativi in Giordania e Tanzania, organizzazioni dell’aviazione in Pakistan, società di telecomunicazioni in Etiopia ed entità del settore finanziario in Burkina Faso. Il deployment di BridgeHead , in particolare, è stato osservato in ambienti vittima in Egitto e presso un’organizzazione aerospaziale e dell’aviazione con sede in Pakistan.

Sui nomi conviene procedere con cautela, e lo segnaliamo come scelta redazionale: i vendor tendono a trattarli come equivalenti (Kaspersky scrive also known as, Check Point also tracked as), ma le mappature restano ricostruzioni dei singoli fornitori e vanno lette come sovrapposizioni, non come identità certe. Kaspersky traccia il gruppo come Mirage Kitten e lo riconduce a UNC1549 (Google), Smoke Sandstorm (Microsoft) e Nimbus Manticore (Check Point); Unit 42 lo segue come Screening Serpens (a sua volta ricondotto a UNC1549, Smoke Sandstorm e Iranian Dream Job).

NightLedger: come entra e cosa fa

NightLedger si maschera da SspiCli.dll e sfrutta il dirottamento dell’ordine di ricerca delle DLL (DLL side-loading / search-order hijacking, T1574.001 ). Il binario legittimo bersaglio, AppVShNotify.exe , non importa direttamente SspiCli.dll , ma importa RPCRT4.dll , che può caricarla in delay-load quando invoca una API RPC che richiede autenticazione: questo consente il caricamento di una SspiCli.dll malevola co-locata, la quale inoltra alla DLL legittima gli export attesi per non rompere il funzionamento del processo. L’impianto esegue ricognizione, comandi, operazioni sui file, enumerazione dei processi e cattura di screenshot, raccoglie il file NetSetup.log (in C:Windowsdebug ) insieme all’output della lista dei processi, e dialoga con il command and control tokenizzando il payload sul delimitatore #%# , schema vicino al backdoor TWOSTROKE già documentato da Google per lo stesso attore.

Il tunnel come infrastruttura di occultamento

Il cuore dell’analisi è BridgeHead . Una volta stabilito il canale WebSocket, funziona da proxy SOCKS5 : è il server command and control a iniziare tutte le connessioni, mentre la macchina infetta si limita a inoltrare il traffico tra i target indicati e il canale. In questo modo la vittima diventa un relay e il traffico verso i sistemi interni sembra originare dalla sua stessa rete, complicando rilevamento e attribuzione. L’impianto è progettato per attraversare i proxy aziendali: gestisce le risposte HTTP 407 , negozia l’autenticazione integrata di Windows (Negotiate prima di NTLM) e ripiega sul contesto SSO dell’utente corrente. Questa logica di attraversamento del proxy ricalca da vicino quella di un backdoor che Kaspersky traccia internamente come Retrograde , sovrapposto agli strumenti riportati pubblicamente come MiniFast (Check Point) e MiniUpdate (Unit 42): è il nesso più diretto fra le tre ricerche. ArcBridge , individuato per la prima volta nell’aprile 2026 in attacchi mediorientali, condivide con NightLedger la logica del mutex dal nome in stile UUID.

Sul piano dell’evasione, BridgeHead verifica il nome utente Windows corrente e attiva il payload soltanto se contiene una specifica sottostringa; una variante hardcoda un valore di controllo di tre caratteri che deve comparire, in minuscolo, nel nome utente, a conferma della personalizzazione per singolo bersaglio e di una ricognizione interna preventiva, oltre che a ostacolo dell’esecuzione nei sistemi di analisi. Kaspersky segnala inoltre uno spostamento graduale, limitato ad alcuni dei malware, dai sottodomini in stile Azure verso domini appoggiati a Cloudflare, coerente con l’obiettivo di ostacolare l’attribuzione, e la continuità con i tunneler LIGHTRAIL e POLLBLEND già associati al gruppo.

Perché conta per chi difende

Il vettore d’accesso iniziale resta poco chiaro per la maggior parte dei campioni; il deployment osservato ha fatto seguito ad attività di spear phishing coerente con il tradecraft documentato dal servizio privato di threat intelligence di Kaspersky e pubblicamente da Unit 42 e Check Point, con esche a tema recruiting che impersonano brand e piattaforme di selezione e pagine di videoconferenza clonate che rimandano ad archivi malevoli ospitati su servizi di file sharing. È lo schema che precede molte campagne mirate e che rende decisiva la ricognizione OSINT offensiva sul personale. Per un comparto difesa e aerospazio esposto al targeting via fornitori e terze parti, il segnale operativo è duplice: presidiare il canale umano del reclutamento e cercare pattern anomali di tunneling WebSocket e di proxy interni, non solo malware sui singoli endpoint. Il contesto, del resto, non è inedito per chi segue le operazioni cyber legate all’Iran, dove compare Pyroxene, che Mandiant sovrappone a UNC1549, in chiave di targeting di fornitori e contractor.