Microsoft обнаружила ранее неизвестную малварь NeedyMantis, которую использовали для долгого скрытого доступа к уже взломанным сетям. Цели выглядят не случайными: телеком-компании, университеты, медицинские НКО, межправительственные организации и подрядчики госструктур. Для русскоязычных IT-команд это неприятное напоминание: периметр можно защитить прилично, но настоящий ущерб часто начинается после первого входа злоумышленника.
О находке сообщает Dark Reading со ссылкой на Microsoft Threat Intelligence. По данным компании, фреймворк применялся как минимум с октября 2025 года в ограниченном числе целевых вторжений. Microsoft связывает часть активности с актором Storm-3069, базирующимся в Китае, но аккуратно не приписывает его напрямую китайским государственным группировкам. Более того, компания не утверждает, что все случаи использования NeedyMantis обязательно связаны именно с Storm-3069. Это важная оговорка: в мире APT-инфраструктуры инструменты иногда переезжают между командами быстрее, чем бизнес успевает обновить матрицу рисков.
NeedyMantis — не эксплойт для первичного взлома, а модульный бэкдор для работы внутри уже скомпрометированной среды. Он общается с инфраструктурой атакующих через HTTPS и WebSockets, собирает сведения о зараженной системе и может подгружать дополнительные компоненты. Главная опасность тут не в одном конкретном бинарнике, который можно добавить в сигнатуры и выдохнуть, а в архитектуре: модульность позволяет оператору менять набор возможностей под конкретную жертву.
Microsoft нашла следы NeedyMantis во время расследования индикаторов компрометации, связанных с атакой на цепочку поставок DAEMON Tools, о которой Kaspersky сообщала в мае. По описанию Microsoft, фреймворк использует несколько загрузчиков, кастомные зашифрованные архивы, собственный формат исполняемых файлов и дополнительные модули. Все это не делает вредоносное ПО магическим, зато усложняет статический анализ: защитнику приходится разбирать не один понятный файл, а набор слоев, ключей, упаковщиков и легитимно выглядящих компонентов.
Один из приемов — DLL sideloading. Злоумышленники прячут вредоносные библиотеки рядом с доверенным ПО, чтобы легитимное приложение само загрузило нужный DLL-файл. В материалах Microsoft упоминаются Poedit, curl, Vim и TightVNC: популярные инструменты, которые сами по себе не выглядят подозрительно в инфраструктуре разработчиков, администраторов и техподдержки. Для SOC это плохой сценарий: событие вроде запуска знакомого приложения не всегда вызывает тревогу, особенно если алертов и так больше, чем людей в смене.
В одном из расследованных вторжений атакующие использовали Impacket, чтобы скопировать легитимное ПО и вредоносные файлы перед запуском. Это тоже симптом посткомпрометационной фазы: оператор уже находится внутри сети, двигается руками, раскладывает инструменты и готовит плацдарм. Инженер AttackIQ Эндрю Костис в комментарии Dark Reading подчеркивает, что первая стадия может показать далеко не все возможности фреймворка: основной компонент способен загружать новые модули, а их полный набор пока неизвестен. Переводя с языка threat intelligence на язык бизнеса: отсутствие видимого вреда в первые часы после инцидента не означает, что ущерба нет.
Мотив Microsoft прямо не называет. Но набор целей — телеком, правительственные подрядчики, университеты, медицинские и межправительственные организации — больше похож на разведку и долгий сбор данных, чем на банальный вымогательский забег. В этом контексте вспоминается Salt Typhoon: в 2025 году эту связанную с Китаем группировку обвиняли во взломах сетей телеком-провайдеров в разных странах. Телекомы остаются особенно вкусной целью: через них можно видеть коммуникации, маршрутизацию, корпоративные связи и много того, что редко помещается в красивый дашборд риска.
Практический вывод для команд безопасности довольно приземленный. Охота только за хешами и именами файлов здесь слабовата: NeedyMantis интереснее ловить по поведению. Нужно смотреть на необычное копирование файлов, подозрительную загрузку DLL, запуск доверенных приложений из странных каталогов, сетевую активность через HTTPS и WebSockets к нетипичным узлам, а также на инструменты администрирования, которые внезапно появляются не там и не тогда. Microsoft отдельно советует включать EDR в режим блокировки, чтобы средство защиты могло останавливать вредоносные артефакты уже после проникновения, если антивирус их пропустил.
Для разработчиков и платформенных команд история тоже не чужая. Если в компании широко используются curl, Vim, TightVNC, Poedit и похожие инструменты, они не должны превращаться в слепую зону только потому, что «это же нормальный софт». Контроль путей запуска, allowlist для критичных серверов, журналирование загрузки DLL, инвентаризация легитимных утилит и тестирование детектов на sideloading — скучные меры, которые внезапно становятся очень живыми, когда атакующий выбирает именно привычный инструмент как маскировку. Следующая волна таких фреймворков, похоже, будет не столько ломать дверь, сколько тихо проверять, кто в офисе вообще смотрит на коридоры после закрытия периметра.
