Microsoft описала NeedyMantis, семейство для закрепления во взломанной сети

Microsoft Threat Intelligence 28 сентября опубликовала разбор NeedyMantis, модульного вредоносного семейства, которое используется уже после взлома. По данным Microsoft, активность, связанная с ним, прослеживается как минимум с октября 2025 года, а встречалось семейство в ограниченном числе целевых операций.

NeedyMantis разворачивают не для проникновения, а после него. Когда доступ в среду уже получен, семейство помогает удерживать его надолго и поддерживать последующие действия атакующих. Способы первичного входа при этом могут различаться от случая к случаю, и в Microsoft их не сводят к одному сценарию.

Среди затронутых организаций в разборе названы телекоммуникационные компании, университеты, медицинские некоммерческие организации, межправительственные структуры и государственные подрядчики. Такая выборка вместе с малым числом замеченных развертываний указывает на точечное применение, а не на массовое.

Как устроено семейство

Семейство собрано из нескольких частей: загрузчиков, архивов собственного формата с шифрованием и сжатием, а также собственного формата исполняемых файлов, урезанного варианта PE. Первый загрузчик встречается упакованным вместе с легитимными программами и замаскирован под нужную им библиотеку: она подгружается через DLL sideloading, когда запускается сама программа. В разборе упоминаются Poedit, curl, Vim и TightVNC, а также подмена имен DLL, связанных с Microsoft Office, Broadcom, Intel и NVIDIA. Microsoft отдельно оговаривает, что распространения самого NeedyMantis через цепочку поставок не наблюдала, хотя такой сценарий мог бы дать доступ, необходимый для его развертывания. Модульная сборка затрудняет анализ и позволяет по команде с сервера подключать новые модули.

След к DAEMON Tools

Microsoft вышла на NeedyMantis, разбирая индикаторы компрометации цепочки поставок DAEMON Tools, о которой ранее писала Kaspersky. Одну из замеченных групп обозначили как Storm-3069, и ее связывают с кампанией против DAEMON Tools. Активность Microsoft соотносит с группами, работающими из Китая, но не утверждает, что Storm-3069 связана с китайским государством, и не берется говорить, что за всеми случаями стоит один оператор: не исключено, что семейством пользуются несколько групп.

Связь с управляющим сервером идет через WebSockets на домен corp.tripswithengine[.]com, а коммуникационная библиотека несет жестко заданный user-agent firefox/21.0. Для защиты Microsoft советует искать исходящие подключения к этому домену, включить EDR в режиме блокировки, сетевую защиту и правила уменьшения поверхности атаки, а также автоматическое прерывание атак.

Изображение: Coolcaesar CC BY-SA 4.0 · Лицензия

Редакторы перевода: Соловьев В., Пеков А.