Хакери използват семейство зловреден софтуер, наречено NeedyMantis, за да поддържат дългосрочен достъп до мрежи, които вече са компрометирали, съобщава Microsoft в технически анализ.

Зловредният софтуер е засечен при малък брой целенасочени прониквания в телекомуникационни организации, университети, медицински организации с нестопанска цел, междуправителствени организации и държавни изпълнители. Използването му датира от поне октомври 2025 г.

Microsoft открива NeedyMantis при проследяване на индикатори от разследването на Kaspersky относно атаката по веригата за доставки срещу DAEMON Tools. При тази атака официални, подписани инсталационни файлове за програмата за работа с дискови изображения DAEMON Tools Lite са съдържали зловреден код от 8 април 2026 г. Разработчикът ги замени с чиста версия на 5 май.

Microsoft проследява дейността, свързана с тази атака, под наименованието Storm-3069. Компанията посочва, че Storm-3069 е една от групите, използващи NeedyMantis, въпреки че самият зловреден софтуер не е наблюдаван да се разпространява чрез атака по веригата за доставки. Специалистите по киберсигурност могат да проверят своите мрежи, като използват хешовете на файлове, домейните, файловите пътища и заявките за засичане (hunting queries), които Microsoft публикува и изброява по-долу.

Как функционира NeedyMantis

В случаите, изследвани от Microsoft, NeedyMantis пристига като пакет от три компонента: копие на легитимна програма, злонамерена DLL библиотека с името на файл, който тази програма зарежда, и криптиран архив със същото име като на DLL файла. Когато програмата стартира, тя зарежда злонамерената DLL библиотека. Тази техника се нарича DLL sideloading.

Легитимните програми, използвани по този начин, включват инструмента за превод Poedit, curl, текстовия редактор Vim и инструмента за отдалечен достъп TightVNC. Зловредният софтуер също така се е маскирал като DLL файлове от Microsoft Office, Broadcom, Intel и NVIDIA.

В мострата, анализирана подробно от Microsoft, злонамереният файл е заменил WinSparkle.dll – компонента за обновяване, който Poedit използва.

При едно от проникванията оператор, който вече се е намирал в мрежата, е използвал инструментариума Impacket, за да копира пакета от мрежов споделен ресурс и да го стартира на целевата машина. Начинът, по който атакуващите първоначално получават достъп до мрежата, може да се различава при отделните прониквания.

След като бъде зареден, DLL файлът разопакова следващия етап от криптирания архив и го стартира. Този етап декодира основния компонент на зловредния софтуер. Основният компонент осъществява връзка с командно-контролен (C2) сървър през HTTPS и след това преминава към WebSocket връзка.

Чрез тази връзка операторите могат да зареждат и изтеглят допълнителни модули и да изпращат данни към тях. Microsoft все още не е потвърдила какво точно извършват тези модули.

По-стара версия, засечена през октомври 2025 г., включва модул за устойчиво присъствие (persistence), който използва услуги на Windows (Windows services). Microsoft не описва как по-новата анализирана версия запазва присъствието си на дадена машина.

Кой стои зад това

Storm-3069 е временно наименование. Microsoft присвоява имена със „Storm“ на нови или развиващи се групи, докато не събере достатъчно увереност относно това кой стои зад тях или какъв е техният произход.

Microsoft е наблюдавала NeedyMantis и извън активността на Storm-3069 в кампанията с DAEMON Tools, като посочва, че е възможно повече от една група да използва зловредния софтуер. Компанията не е установила дали цялата дейност произлиза от един-единствен злонамерен субект, нито е пояснила каква точно е връзката между Storm-3069 и NeedyMantis.

Дейността на Storm-3069 изглежда произхожда от Китай според оценките на Microsoft, но компанията не свързва категорично групата с държавно спонсориран китайски субект. Цялата активност на NeedyMantis, наблюдавана от Microsoft до момента, отговаря на профила на групи, свързвани с Китай. Примери за това са цели, които съвпадат с китайски интереси, както и използването на зловредния софтуер само срещу няколко подбрани организации.

Когато Kaspersky разкри атаката срещу DAEMON Tools през май, тя откри текст на китайски език в зловредния софтуер, но не приписа кампанията на конкретна група.

Групата за анализ на заплахите на Google (Google Threat Intelligence Group) проследява автора на заплахата зад кампанията с DAEMON Tools като UNC6863. През юни Mandiant описа UNC6863 като „субект с предполагаеми връзки с Китай“, който е използвал компрометирането на DAEMON Tools за разпространение на зловреден софтуер. Не е ясно дали UNC6863 и Storm-3069 са една и съща група.

Как да проверите за NeedyMantis

Microsoft публикува следните индикатори за компрометиране (IoC):

  • SHA-256: e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e (зареждач от първи етап WinSparkle.dll, засечен за първи път на 21 май 2026 г.)
  • SHA-256: 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef (криптиран архив с име WinSparkle, засечен за първи път на 23 май 2026 г.)
  • SHA-256: c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 (криптиран архив с име libcurl, по-стара версия, засечен за първи път на 3 октомври 2025 г.)
  • Domain: corp.tripswithengine[.]com (C2 сървър, порт 443)
  • User agent: firefox/21.0 (твърдо кодиран в комуникационната DLL библиотека на зловредния софтуер)

Това са част от файловите пътища, използвани от злонамерените DLL файлове:

  • %ProgramFiles%\Poedit\WinSparkle.dll
  • %ProgramData%\USOShared\libcurl.dll
  • %ProgramData%\VIM\vim64.dll
  • %ProgramData%\TightVNC\VIM\vim64.dll
  • %ProgramData%\office\dbghelp.dll
  • %ProgramData%\broadcom\dbghelp.dll
  • %ProgramData%\Intel\jli.dll
  • %ProgramFiles%\modifiable\nvml.dll
  • %ProgramData%\ics\nvml.dll

Microsoft Defender Antivirus засича зловредния софтуер като TrojanDropper:Win64/NeedyMantis и Behavior:Win64/NeedyMantis. Microsoft публикува и заявки за засичане, които търсят тези пътища в Defender XDR, както и C2 домейна и потребителския агент (user agent) в Defender XDR и Microsoft Sentinel.

Всяка заявка проверява назад за период от само седем дни. Microsoft не уточнява дали NeedyMantis все още се използва активно, а датираните файлове са забелязани за първи път през октомври 2025 г. и май 2026 г. Ако се изпълнят без промяна, заявките няма да открият събития от тези месеци.

Съвпадение само с пътя на Poedit не доказва непременно компрометиране. WinSparkle.dll е и стандартна част от Poedit, така че намерените там файлове трябва да се сравнят с публикувания хеш.

Microsoft препоръчва няколко настройки в Defender: облачно базирана защита (cloud-delivered protection), блокиране при първо виждане (block at first sight), EDR в режим на блокиране (EDR in block mode), мрежова защита, автоматично прекъсване на атаката и две правила за намаляване на повърхността за атака (attack surface reduction rules). Препоръчва се също така проверка на изходящия трафик за връзки към C2 домейна – стъпка, която не изисква задължително Defender.

Microsoft не е наблюдавала достигане на NeedyMantis чрез манипулираните инсталационни файлове на DAEMON Tools. За тях разработчикът препоръчва на всеки, който е изтеглил или инсталирал безплатната версия DAEMON Tools Lite 12.5.1 в засегнатия период, да я деинсталира, да извърши пълно сканиране на системата и да изтегли версия 12.6 от официалния уебсайт.