В октябре 2025 года и позднее зафиксированы целевые атаки, в ходе которых на уже скомпрометированные устройства попадает NeedyMantis - модульный вредоносный комплекс для длительного скрытого присутствия. Атаки затронули телекоммуникационные компании, университеты, медицинские некоммерческие организации, межправительственные структуры и подрядчиков государственных ведомств. Число известных эпизодов невелико, а состав жертв указывает на выборочное применение, а не на массовые рассылки. Сам комплекс не используют для первичного проникновения: он появляется в сети, когда доступ у злоумышленника уже есть. Способы входа в каждом случае могли различаться, а NeedyMantis отвечает за закрепление и поддержку последующих операций.
Описание
История активности насчитывает как минимум несколько месяцев. Комплекс обнаружили при разборе индикаторов, связанных с компрометацией цепочки поставок DAEMON Tools. Об этом эпизоде ранее сообщала Kaspersky, проводившая собственное расследование. Часть активности Microsoft связывает с группировкой Storm-3069 - обозначением, которое компания применяет для операций вокруг того же случая. Происхождение активности оценивают как китайское, но привязку к конкретной государственной структуре Microsoft не подтверждает. Выбор целей совпадает с интересами, которые компания связывает с группами, работающими из Китая. Речь идет об узком круге организаций и о выборочном развертывании, а не о широком охвате. Замечены и другие применения NeedyMantis помимо эпизода со Storm-3069. Отсюда вывод: доступ к инструменту есть более чем у одного оператора, хотя принадлежность всех эпизодов одной группе пока не доказана.
По данным Microsoft Threat Intelligence, архитектура NeedyMantis отличается от типовых образцов. Внутри несколько загрузчиков, собственный формат архивов с шифрованием, нестандартный исполняемый формат файлов и набор подключаемых модулей. Разбор требует распутывания нескольких слоев упаковки, прежде чем откроется логика программы. Загрузчики прячут служебные строки и числовые значения, собирая их по частям прямо во время работы. Такой прием мешает автоматическому поиску признаков. Модули позволяют наращивать функциональность уже после заражения и добавлять возможности без замены основного кода. Все это затрудняет и обнаружение, и анализ: защитным системам достается минимум узнаваемых признаков.
Доставка тоже нетипична. Легитимную программу ставят рядом с чужой библиотекой и архивом. Когда сотрудник запускает знакомое приложение, система подгружает подмененный служебный компонент вместо настоящего. В качестве прикрытия использовали программы для перевода, работы с текстом, передачи данных и удаленного доступа, а также компоненты Microsoft Office, Broadcom, Intel и NVIDIA. В одном эпизоде злоумышленник скопировал легитимное ПО, чужую библиотеку и архив с сетевого ресурса на конкретное устройство. Произошло это уже после того, как доступ в сеть был получен. Отдельно отмечается, что сам NeedyMantis через цепочку поставок не распространялся, хотя такой сценарий и остается возможным способом получить доступ.
Первый загрузчик запускается вместе с прикрытием и решает одну задачу - извлечь из архива следующий компонент. Архив хранит данные зашифрованными и сжатыми, а ключи и смещения меняются от образца к образцу. Кроме вредоносных файлов внутри лежат настоящие библиотеки сжатия, диагностики и системные модули. Они нужны, чтобы набор выглядел безобидно. Часть файлов названа в честь системных библиотек Windows, хотя содержит конфигурацию, модуль связи и вспомогательный код. Второй загрузчик маскируется под сценарий PowerShell, но содержит шелл-код - небольшую программу, которая исполняется прямо в памяти. Он разворачивает основной компонент и передает ему управление.
Основной компонент держит связь с командно-контрольным сервером (C2-сервером) и принимает оттуда модули. Обмен идет по защищенному соединению, которое затем переводится в режим постоянного канала. Первый запрос несет сведения о машине и пользователе, списке процессов и содержимом системных каталогов. Перед этим стороны обмениваются ключами: сервер получает набор случайных данных, из которых формирует ключ шифрования. Каждый сеанс использует новые значения, поэтому перехваченный трафик повторно не применить. Набор команд невелик: загрузить модуль, выгрузить модуль, передать данные, снять активные флаги. Возможности самих модулей пока не подтверждены, и это оставляет открытым вопрос о том, какие данные злоумышленники способны собрать.
Практический риск в том, что NeedyMantis сохраняет присутствие в сети долго и незаметно. Деньги он не похищает и файлы не шифрует, зато дает устойчивый доступ к почте, внутренним системам и документам. Для телекома это приведет к утечке абонентских данных, для вузов - к потере исследовательских материалов, для подрядчиков госсектора - к компрометации служебной переписки. Меры защиты остаются привычными: обновлять операционные системы и прикладное ПО, ограничивать права рядовых сотрудников, следить за появлением посторонних библиотек рядом с легитимными программами. Полезно проверять, какие модули подгружает приложение при запуске. Исходящие соединения к незнакомым адресам тоже заслуживают проверки, особенно если они идут с рабочих станций в нерабочие часы. Поскольку полный набор модулей неизвестен, оценить масштаб возможного ущерба заранее нельзя. Опыт похожих кампаний показывает: чем дольше чужой код остается в инфраструктуре, тем шире становится круг пострадавших данных.
Индикаторы компрометации
