Deep Dive Educated Manticore

Beobachtungen

Educated Manticore (auch bekannt als APT42 und Charming Kitten) ist der Geheimdienstarm der Islamischen Revolutionsgarde (IRGC) und unterscheidet sich von allen anderen in dieser Serie behandelten iranischen Clustern durch einen fundamentalen Unterschied im Operationsmodell. Educated Manticore greift keine Systeme an. Er greift Menschen an.

Während Cotton Sandstorm auf öffentlichkeitswirksame Infrastrukturangriffe setzt, ist Educated Manticore auf den geduldigen, vertrauensbasierten Zugang zu hochrangigen Einzelpersonen spezialisiert. Dazu zählen Wissenschaftler, Journalisten, Menschenrechtsaktivisten, Juristen, Politiker und Geheimdienstmitarbeiter. Die Gruppe investiert Wochen oder Monate in den Aufbau scheinbar legitimer Beziehungen, bevor sie einen Phishing-Link oder eine Schadsoftware übermittelt. Dieser Ansatz macht Educated Manticore besonders schwer zu erkennen und besonders wirksam gegen Zielpersonen, die eigentlich sicherheitsbewusst sind.

Das Bundesamt für Verfassungsschutz (BfV) warnte im August 2023 vor konkreten Ausspähversuchen der Gruppe gegen iranische Personen und Organisationen in Deutschland. Darunter Dissidenten, Juristen und Journalisten sowie Menschenrechtsaktivisten innerhalb und außerhalb des Iran. Nach Ermittlungserkenntnissen, die dem Spiegel vorliegen, steht Charming Kitten hinter einem gezielten Cyberangriff auf die Berliner Justizsenatorin Felor Badenberg (CDU), bei dem personenbezogene Daten, E-Mails und der digitale Terminkalender der Senatorin erbeutet wurden. Badenberg, die selbst iranische Wurzeln hat und bis 2023 als Vizepräsidentin des BfV tätig war, bewertet den Vorfall als staatlich initiierten Angriff mit dem Ziel der Einschüchterung.

Educated Manticore verfolgt primär Personen, deren Netzwerke, Informationen oder öffentliche Stimme für das iranische Regime eine Bedrohung oder einen nachrichtendienstlichen Wert darstellen. Das schließt in Deutschland lebende Exil-Iraner und Oppositionelle ebenso ein wie Politiker, Richter, Wissenschaftler mit Iran-Bezug und Journalisten, die über Iran berichten.

Methoden

Das operative Handwerk von Educated Manticore beruht auf einer Kombination aus aufwändiger menschlicher Vorbereitung und technisch moderater, aber gezielter Angriffsinfrastruktur. Die Gruppe zeichnet sich dadurch aus, dass sie den technischen Aufwand bewusst nachrangig behandelt. Entscheidend ist die soziale Glaubwürdigkeit des Erstkontakts.

Mehrstufiges Social Engineering als Kernmethodik: Educated Manticore operiert nach einem Mehrstufen-Muster. In der ersten Phase wird die Zielperson durch eine scheinbar legitime Kontaktaufnahme kontaktiert. Häufig geschieht dies über E-Mail, WhatsApp oder LinkedIn. Die Angreifer geben sich als Journalisten, Wissenschaftler, Konferenzorganisatoren, Recruiter oder Vertreter renommierter Institutionen aus. In der zweiten Phase wird die Beziehung über mehrere Tage oder Wochen vertieft. Anschließend wird in der dritten Phase ein Link zu einer gefälschten Login-Seite oder eine mit Schadsoftware versehene Datei übermittelt. Diese Verzögerungsstrategie ist analytisch bedeutsam, denn sie überwindet den Sicherheitsreflex gegen unbekannte Absender (MITRE ATT&CK: T1566 — Phishing, T1598 — Phishing for Information).

React-basierte Phishing-Kits und Credential-Harvesting-Infrastruktur: Check Point Research dokumentierte im Juni 2025 eine groß angelegte Phishing-Infrastruktur, die seit Januar 2025 aktiv ist und über 130 Domains sowie zahlreiche Subdomains umfasst. Die Kits sind in React implementiert und imitieren täuschend echt die Login-Oberflächen von Gmail, Outlook und Yahoo Mail einschließlich MFA-Abfragen. Die Infrastruktur ist eng mit dem Sub-Cluster GreenCharlie verknüpft, der von Check Point Research als Teilmenge von Educated Manticore eingestuft wird. Die meisten Domains wurden über den Registrar NameCheap registriert. Erbeutete Zugangsdaten und 2FA-Codes werden in Echtzeit an die Angreifer übermittelt. Dies ermöglicht eine sofortige Session-Übernahme (MITRE ATT&CK: T1539 — Steal Web Session Cookie, T1111 — Multi-Factor Authentication Interception).

Backdoors und Malware-Einsatz bei Hochwerttargets: Gegen Zielpersonen mit besonders hohem nachrichtendienstlichen Wert setzt Educated Manticore neben reinem Credential-Harvesting auch Backdoors ein. Dokumentiert sind die PowerShell-basierte Backdoor CharmPower (auch bekannt als POWERSTAR), die C2-Kommunikation über legitime Cloud-Dienste abwickelt. Auch NICECURL (auch bekannt als BASICSTAR), ein in VBScript geschriebenes Tool für Datamining und Befehlsausführung, wird eingesetzt. Seit 2025 kommt zunehmend TameCat zum Einsatz. Das ist ein modularer PowerShell-Loader, der C2-Kommunikation über Telegram und Discord abwickelt, im Arbeitsspeicher operiert, signierte Windows-Systembinärdateien zur Tarnung missbraucht und über einen In-Memory-Verschlüsselungsmechanismus verfügt. TameCat wurde im Rahmen der SpearSpecter-Kampagne eingesetzt, die das israelische Nationale Digitalagentur (INDA) im September 2025 dokumentierte (MITRE ATT&CK: T1059.001 — PowerShell, T1071.001 — Web Protocols, T1620 — Reflective Code Loading).

KI-gestützte Angriffsvorbereitung: Check Point Research stellte fest, dass neuere Phishing-Nachrichten von Educated Manticore Merkmale KI-gestützter Texterstellung aufweisen. Flüssigere Sprache, kontextbezogenere Ansprache, weniger sprachliche Indikatoren für nicht-muttersprachliche Verfasser. Dies erhöht die Überzeugungskraft der Erstkontakte erheblich und reduziert einen der bisher zuverlässigsten manuellen Erkennungshinweise für Phishing-Versuche.

Erweiterung auf das private Umfeld der Zielpersonen: Educated Manticore dehnt mittlerweile das Targeting explizit auf Familienmitglieder der primären Zielpersonen aus. Dieses Vorgehen dient sowohl der Vergrößerung der Angriffsfläche als auch der psychologischen Druckerhöhung auf die Hauptzielperson, deren persönliches Umfeld kompromittiert wird oder als Brücke für den Zugang zur Hauptzielperson dient.

Attribution

Die Attribution von Educated Manticore zum IRGC ist durch mehrere Quellen gestützt, jedoch mit einer wichtigen Einschränkung. Die Cluster-Grenzen zwischen Educated Manticore, APT42, APT35 und Charming Kitten sind in der IT-Sicherheitslandschaft nicht einheitlich gezogen. Dies erschwert eine abschließende Aussage über die Identität der Gruppierungen.

Mandiant ordnet den Cluster dem IRGC zu und grenzt ihn von APT35 ab, mit dem er jedoch nachweislich Infrastruktur und Taktiken teilt. Check Point Research verwendet durchgehend die Bezeichnung Educated Manticore für einen Cluster, der funktional mit APT42 gleichgesetzt wird. Microsoft nennt denselben Cluster Mint Sandstorm. Das BfV und der Verfassungsschutz Baden-Württemberg verwenden in ihren behördlichen Warnungen die Bezeichnung Charming Kitten. Proofpoint führt die Gruppe als TA453.

Als analytische Einschätzung ist die Zielauswahl von Educated Manticore im deutschen Kontext nicht zufällig, sondern folgt einer erkennbaren IRGC-Priorisierungslogik. Personen, die entweder im Iran geborenen Oppositionellen nahestehen, über nachrichtendienstliche Kenntnisse verfügen, oder deren öffentliche Position den iranischen Staat in Deutschland betrifft, werden als nachrichtendienstlich besonders wertvoll eingestuft. Deutschland als eines der Hauptaufnahmeländer iranischer Exilgemeinschaften dürfte daher strukturell im Fokus des IRGC bleiben. Diese Einschätzung lässt sich aus dem Muster der dokumentierten Fälle ableiten, ist aber durch die vorliegenden Quellen nicht im Sinne einer expliziten Operationsplanung belegt.

Handlungsempfehlungen

Die nachfolgenden Empfehlungen sind auf die spezifische Bedrohungslogik von Educated Manticore ausgerichtet. Da die Gruppe primär Menschen und nicht Systeme angreift, verschiebt sich der Verteidigungsschwerpunkt gegenüber klassischen APT-Abwehrmaßnahmen erheblich in Richtung menschlicher Faktoren und persönlicher Sicherheitspraktiken.

• Hochrisikoindividuen als eigene Schutzklasse behandeln (Priorität: Kritisch).
  Organisationen, die Personen mit erhöhtem Gefährdungsprofil beschäftigen sollten für diese Personengruppe gesonderte Sicherheitsmaßnahmen definieren und durchsetzen. Dedizierte Geräte für dienstliche Kommunikation, getrennte Konten für private und berufliche Nutzung, erhöhte MFA-Standards (FIDO2) und regelmäßige Überprüfung auf unautorisierte Geräteanmeldungen in Cloud-Diensten (Google, Microsoft 365).
• Unangekündigte Kontaktaufnahme als Hochrisikoindikator schärfen (Priorität: Hoch).
  Educated Manticore setzt auf täuschend echte Erstansprachen, die sich als Journalisten, Wissenschaftler, Konferenzorganisatoren oder als Vertreter renommierter Institutionen ausgeben. Mitarbeiter mit hoher öffentlicher Sichtbarkeit oder sensiblen Positionen sollten trainieren, die Identität unbekannter Kontaktpersonen über einen zweiten, verifizierten Kanal zu bestätigen, bevor sie auf Links klicken, Anhänge öffnen oder in Video-Meetings eintreten. Besondere Vorsicht gilt für unaufgeforderte Einladungen zu Webinaren, Konferenzen oder Interviews.
• Phishing-resistente MFA für persönliche und dienstliche Konten durchsetzen (Priorität: Hoch).
  Die dokumentierten Phishing-Kits von Educated Manticore sind explizit auf die Überwindung von SMS- und App-basierter Zwei-Faktor-Authentifizierung ausgelegt. FIDO2-Hardware-Token oder Passkeys sind die einzigen MFA-Verfahren, die gegen diese Angriffsklasse resistent sind, da sie an die Domain der legitimen Website gebunden sind und auf einer Phishing-Domain nicht funktionieren (MITRE ATT&CK-Abwehr zu T1111).
• Persönliches Umfeld von Hochrisikoindividuen in Sicherheitsberatung einbeziehen (Priorität: Mittel).
  Die SpearSpecter-Kampagne dokumentiert die gezielte Ausweitung von Angriffen auf Familienmitglieder der primären Zielpersonen. Organisationen, die Personen mit erhöhtem Gefährdungsprofil beschäftigen, sollten diese ausdrücklich über die Möglichkeit informieren, dass ihr privates Umfeld ebenfalls kontaktiert werden könnte und grundlegende Sicherheitsempfehlungen für Familienmitglieder bereitstellen. Dazu gehören die Erkennung von Phishing-Versuchen, der Umgang mit unverifizierten Kontaktaufnahmen über Messenger-Dienste sowie die sichere Konfiguration persönlicher E-Mail-Konten.
• Google-Takeout und Cloud-Account-Exfiltration im Incident-Response-Playbook berücksichtigen (Priorität: Mittel).
  Das BfV dokumentierte in seinem Cyber-Brief 01/2023 eine spezifische Technik. Nach erfolgreicher Credential-Erbeutung loggen sich die Angreifer vom C2-Server aus in das Google-Konto des Opfers ein und exportieren über Google Takeout sämtliche gespeicherten Daten. Incident-Response-Playbooks sollten diese Technik abdecken: Überprüfung aktiver Sitzungen in Google- und Microsoft-Konten, sofortige Passwortänderung und Sitzungsinvalidierung sowie Prüfung des Google-Takeout-Verlaufs auf unautorisierte Exporte.

Hinweis

Dieser Report ist der dritte in der CTI-Serie zu iranischen APT-Akteuren. Unser Auftakt-Report vom 5. Mai 2026 führte Educated Manticore als IRGC-IO-affiliierten Cluster mit Social-Engineering-Schwerpunkt ein und grenzte ihn von den MOIS-assoziierten Gruppen ab.