Hackers Use NeedyMantis to Maintain Long-Term Access in Breached Networks
The Hacker News · 28 sept, 20:35
Microsoft ha analizado una familia de malware llamada NeedyMantis utilizada por hackers para mantener acceso a largo plazo en redes ya comprometidas, afectando a operadores de telecomunicaciones, universidades, organizaciones médicas e instituciones gubernamentales desde octubre de 2025. El malware emplea DLL sideloading mediante programas legítimos como Poedit, curl y VNC, conectándose a servidores de control y comando a través de HTTPS y WebSocket. El grupo identificado como Storm-3069 aparentemente origina su actividad en China y está vinculado a la campaña de ataque a la cadena de suministro de DAEMON Tools.
NeedyMantis se distribuye como un paquete de tres componentes: un programa legítimo, una DLL maliciosa nombrada según un archivo que carga el programa, y un archivo cifrado. Cuando el programa se inicia, carga la DLL maliciosa mediante DLL sideloading. Los programas legítimos comprometidos incluyen Poedit, curl, Vim y TightVNC, así como archivos que simulan ser componentes de Microsoft Office, Broadcom, Intel y NVIDIA. En una intrusión analizada, un operador dentro de la red utilizó el toolkit Impacket para copiar el paquete desde un recurso compartido de red y ejecutarlo en una máquina objetivo.
Una vez cargada, la DLL desempaqueta la siguiente etapa desde el archivo cifrado y se conecta a un servidor de C2 sobre HTTPS, cambiando posteriormente a una conexión WebSocket. Los operadores pueden cargar y descargar módulos adicionales. Microsoft detecta el malware como TrojanDropper:Win64/NeedyMantis y Behavior:Win64/NeedyMantis, y ha publicado hashes de archivos, dominios, rutas de archivo y consultas de búsqueda para que los defensores examinen sus redes. La versión más antigua incluía un módulo de persistencia basado en servicios de Windows.
Puntos clave
- Malware NeedyMantis usa DLL sideloading con programas legítimos (Poedit, curl, Vim, TightVNC)
- Se conecta a C2 en corp.tripswithengine[.]com puerto 443 con user agent firefox/21.0
- Microsoft proporciona hashes SHA-256, rutas de archivo e indicadores para detección en Defender y Sentinel
- Detectado como TrojanDropper:Win64/NeedyMantis y Behavior:Win64/NeedyMantis
- Grupo Storm-3069 aparentemente con origen en China, posiblemente vinculado a UNC6863