A Microsoft analisou um framework de malware usado por um ator de ameaças baseado na China em ataques contra organizações de telecomunicações e governamentais. Batizado de NeedyMantis, o framework foi descoberto durante a análise de indicadores de comprometimento associados ao ataque à cadeia de suprimentos do Daemon Tools em maio de 2026, quando milhares de computadores foram infectados por versões adulteradas do software distribuídas pelo site oficial. Um backdoor foi implantado em cerca de uma dúzia deles, atingindo organizações governamentais, científicas, industriais e de varejo em Belarus, Rússia e Tailândia.
Arquitetura modular e formato de arquivo personalizado
Em novo relatório, a Microsoft detalha o NeedyMantis, malware modular de pós-comprometimento usado pelos hackers do Daemon Tools em ataques direcionados a universidades, contratantes governamentais, telecomunicações, organizações médicas sem fins lucrativos e entidades intergovernamentais. “Com base na atividade observada, o NeedyMantis normalmente é implantado depois que um ator de ameaça já estabeleceu acesso a um ambiente-alvo, indicando que o malware é usado para manter acesso de longo prazo e apoiar operações subsequentes”, observa a Microsoft. O framework tem sido usado em ataques desde pelo menos outubro de 2025, provavelmente por mais atores de ameaças baseados na China. Segundo a Microsoft, o grupo por trás do ataque ao Daemon Tools, rastreado como Storm-3069, não foi atribuído a um ator estatal chinês.
Cadeia de infecção abusa de DLL sideloading
Usado apenas em ataques direcionados, o NeedyMantis tem arquitetura modular composta por vários carregadores, arquivos criptografados personalizados, formatos executáveis próprios e componentes modulares em C++ e shellcode x64, projetados para evadir detecção e ampliar capacidades. A cadeia de infecção começa com um carregador de primeiro estágio e um arquivo compactado junto a software legítimo. O malware abusa de DLL sideloading para executar o carregador, que extrai e executa um carregador de segundo estágio para rodar o componente principal. O arquivo compactado contém componentes legítimos de software e sistema, o carregador de segundo estágio, a configuração do malware, uma DLL de comunicação baseada em WebSockets e shellcode para carregar módulos DLL.
Uso de Impacket e comunicação C2
“Em um incidente observado, um operador usou o kit Impacket durante atividade manual para copiar o software legítimo, a DLL maliciosa e o arquivo compactado de um compartilhamento de rede e executá-lo em um dispositivo alvo. Essa atividade ocorreu depois que o ator já havia obtido acesso ao ambiente”, afirma a Microsoft. O carregador de segundo estágio extrai dados embutidos e os decodifica e descomprime. O resultado é uma versão minimizada de um arquivo PE, na forma de uma DLL formatada com um formato executável personalizado.
Componente principal e módulos adicionais
O componente principal do NeedyMantis orquestra a comunicação de comando e controle por meio de 10 funções projetadas para iniciar e manter uma conexão WebSockets. Ele também envia informações de sistema e usuário ao C2 e, com base nos comandos recebidos, pode carregar ou descarregar módulos, despachar dados para módulos e desativar sinalizadores. “Os comandos de carregar, descarregar e despachar dados do componente principal mostram que o NeedyMantis pode estender sua funcionalidade por meio de módulos adicionais, mas as capacidades desses módulos permanecem não confirmadas”, observa a Microsoft.
