Microsoft обнаружила вредонос NeedyMantis для длительного доступа к взломанным сетям

Microsoft раскрыла вредоносный фреймворк NeedyMantis, который атакующие ставят в уже взломанные сети, чтобы месяцами сидеть внутри и не светиться. Кампания идёт минимум с октября 2025 года, под прицелом телеком, университеты и организации, связанные с госсектором. Активность имеет китайское происхождение, а часть операций Microsoft приписывает группировке Storm-3069.

NeedyMantis не открывает дверь, а приходит, когда её уже открыли. Первоначальный вход остаётся загадкой. Атакующие уже контролируют кусок инфраструктуры и вручную докидывают файлы на скомпрометированные машины. Фреймворк собран из нескольких компонентов на C++ и x64-шеллкода, всё это маскируется под легитимный софт. Загрузка идёт через DLL side-loading. Настоящий исполняемый файл сам подтягивает подложную библиотеку, и для защиты это гораздо менее подозрительно, чем запуск неизвестного бинарника напрямую.

Microsoft находила NeedyMantis рядом с популярными программами с открытым кодом. В списке значатся следующие приложения:

• Poedit;
• curl;
• Vim;
• TightVNC.

Помимо них, попадались вредоносные DLL, которые прикидывались компонентами Microsoft Office, Broadcom, Intel и NVIDIA. Жертве не нужно скачивать заражённый установщик. Атакующий после получения удалённого доступа сам кладёт всё на машину. Пользователь видит знакомую программу, а защите приходится отличать нормальную работу приложения от подгрузки подменённой DLL.

Интересно, что NeedyMantis не заточен под разовую кражу данных. Его задача в том, чтобы обжиться в сети и продолжать атаку изнутри.

Атака собирается по шагам, как конструктор:

• первый загрузчик запускает вредоносные компоненты через DLL side-loading;
• загрузчик второго этапа глубже вкапывает фреймворк в среду;
• финальный компонент выходит на командный сервер злоумышленников.

После связи с сервером атакующие сохраняют удалённый доступ, выгружают данные и подгружают новые модули. У вредоноса есть техники против анализа, и они мешают работать и защитным решениям, и реверсерам. Снесли один загрузчик и выдохнули? Рано, ведь если в инфраструктуре остались другие звенья цепочки, доступ можно восстановить. Найденный NeedyMantis на одной машине означает, что пора проверять и соседние системы.

Storm-3069 раньше связывали со взломом цепочки поставок Daemon Tools. Доказательств, что NeedyMantis раздаётся тем же путём, у Microsoft нет, но исследователи допускают, что supply chain может быть одним из вариантов первого входа. Для российских пользователей это повод напрячься. Daemon Tools давно живёт на массе домашних и рабочих машин в России, а курл, Vim и TightVNC стоят на админских ноутбуках и серверах российских компаний. Плюс у нас традиционно любят ставить софт из неофициальных источников, и подложную DLL в таком дистрибутиве заметит не каждый.

На данный момент известно следующее:

• активность имеет китайское происхождение, но прямая связь с госструктурами Китая не доказана;
• часть атак Microsoft относит к Storm-3069;
• единая группа за всеми атаками не подтверждена.

Стоит обратить внимание, что способ первичного проникновения пока не установлен. Microsoft не привязывает кампанию к конкретной уязвимости или единому каналу доставки.

Рекомендации компании сводятся к усилению защиты конечных точек:

• активировать облачную защиту и Block at First Sight, чтобы быстрее блокировать новые и неизвестные варианты вредоносов;
• использовать EDR в режиме блокировки, чтобы Microsoft Defender for Endpoint сам пресекал вредные действия;
• подключить Network Protection;
• настроить автоматическое прерывание атак в Microsoft Defender XDR.

Защита эндпоинтов здесь работает как последний рубеж. Если атакующий уже получил ручной доступ, задача в том, чтобы не дать ему превратить временный доступ в постоянную прописку.

Эксперты CISOCLUB считают, что NeedyMantis хорошо показывает смещение акцента в атаках после взлома. Пока защитники сражаются за периметр, противник уже внутри и занимается обустройством быта. Использование настоящих исполняемых файлов популярных программ сильно бьёт по сигнатурной защите, поэтому поведенческий анализ и EDR в режиме блокировки становятся обязательными.

Компаниям стоит пересмотреть, откуда админы берут утилиты, и проверять хэши и подписи даже у привычного опенсорса. Обнаружение одного компонента нужно считать поводом для полноценного разбора всей инфраструктуры, а не для быстрой зачистки. Пока не понятен вектор первичного входа, логично закрывать все вероятные варианты, от цепочек поставок до забытых сервисов с удалённым доступом.

Ранее сообщалось, что переход компаний с Microsoft 365 на Google Workspace далеко не всегда позволяет сократить расходы. Старший аналитик Gartner Domenico Scriva заявил на IT Symposium в Австралии, что после подключения сервисов, которых не хватает в Google Workspace, стоимость решения может оказаться на 2 доллара в месяц выше, чем Microsoft 365, в расчёте на одного пользователя. По его словам, компании рассматривают миграцию как способ снизить затраты, но в итоге получают длительный проект с непредсказуемым финансовым результатом.