Backdoor NeedyMantis: akses jaringan jangka panjang

Backdoor NeedyMantis: akses jaringan jangka panjang

Bahagian paling bising dalam mana-mana serangan ialah cara masuknya — email phishing, exploit, atau penggera pertama yang berbunyi. Bahagian yang senyap, dan biasanya yang paling bahaya, ialah cara penyerang kekal di dalam. Ramai defender masih menumpukan masa dan tooling untuk pintu utama, dan itulah sebab malware post-compromise terus menguntungkan penyerang.

NeedyMantis ialah salah satu bahagian senyap itu. Ia rangka kerja backdoor modular yang pertama kali didokumentasikan oleh Microsoft Threat Intelligence minggu ini, selepas pasukan itu berpusing dari penunjuk yang dikaitkan dengan kompromi supply chain DAEMON Tools yang dilaporkan Kaspersky awal tahun ini. Microsoft mengaitkan aktiviti ini dengan satu operator yang dikesan, Storm-3069, yang dinilai Microsoft beroperasi dari China — tetapi Microsoft tegas: ia tidak mengaitkan aktor itu dengan mana-mana kumpulan state-sponsored China, dan bukan semua penggunaan NeedyMantis boleh dikaitkan dengan operator yang sama.

Apa yang buat laporan ini berbaloi dibaca bukan setakat kebaharuan malware itu. Ia peringatan bahawa rangka kerja yang dibina khusus untuk separuh kedua sesebuah breach akan mengubah setiap endpoint yang berjaya dipancing menjadi pijakan jangka panjang.

Dibina untuk separuh kedua breach

NeedyMantis adalah tool post-compromise secara rekaan: ia muncul selepas penyerang sudah pun masuk. Aktiviti ini berjalan sejak sekurang-kurangnya Oktober 2025, dan Microsoft kata ia diperhatikan dalam jumlah serangan terarah yang terhad terhadap:

• organisasi telekomunikasi
• universiti
• badan bukan untung perubatan
• organisasi antara kerajaan
• kontraktor kerajaan

Corak mangsa dan penyebaran yang "terhad" itu mencadangkan penggunaan selektif, bukan serangan beramai-ramai. Sejajar dengan sektor yang sama pernah diserang Salt Typhoon dalam operasi telekom globalnya — jaringan telco dan kerajaan adalah sasaran bernilai tinggi sebab akses di sana memang berbaloi dikekalkan.

Muatannya: software sah sebagai penyamaran

NeedyMantis sampai dalam bentuk two-stage loader, dan stage pertama dibina supaya nampak biasa-biasa sahaja. Ia DLL yang di-sideload oleh software open-source yang dipercayai berjalan pada mesin — fail malware itu bersembunyi di sebalik komponen update WinSparkle.dll milik Poedit, libcurl.dll curl, vim64.dll Vim, dan susun atur pemasangan TightVNC (laluan %ProgramData%\TightVNC\VIM\vim64.dll). Microsoft juga pernah lihat komponen NeedyMantis menyamar sebagai DLL Microsoft Office, Broadcom, Intel, dan NVIDIA.

DLL stage pertama itu dibungkus bersama fail arkib yang dinamakan sama dengan loader tanpa sambungan fail — arkib WinSparkle di sebelah WinSparkle.dll, contohnya. Tugas loader itu cuma satu: membongkar stage seterusnya dan menyerahkan kawalan.

Dalam satu insiden yang diperhatikan, penyerang menggunakan toolkit Impacket semasa aktiviti hands-on-keyboard untuk menyalin software sah, DLL berniat jahat, dan arkib dari network share, kemudian menjalankannya pada peranti sasaran. Dengan kata lain: rangka kerja itu diperkenalkan di tengah operasi, selepas intrusion sudah pun bermula.

Membongkar format arkib tersuai

Format arkibnya sengaja bukan zip biasa. Lapisan luar dinyahkod dengan XOR dan dinyahmampat menggunakan RtlDecompressBuffer, dan setiap entri fail membawa nama yang dinyahkod dan kandungan yang dinyahmampat sendiri-sendiri. Yang penting: offset, kunci XOR, dan pemalar berubah dari sampel ke sampel. Signature yang dilatih pada susun atur arkib satu sampel tidak akan padan dengan sampel seterusnya.

Arkib WinSparkle yang baru dianalisis mengandungi sebelas fail, dan kebanyakannya sah (binari 7-Zip, Disk2vhd/Ctrl2Cap dari Sysinternals, kernel32.dll yang bersih). Yang menarik ialah beberapa fail terakhir:

• encryptbase64.ps1 — second-stage loader. Walaupun sambungannya .ps1, ia sebenarnya shellcode x64
• dnsapi.dll — bukan pustaka rangkaian Windows; ia menyimpan konfigurasi malware
• ws2_32.dll — juga penyamaran; sebenarnya DLL komunikasi WebSockets
• msvcrt140.dll — shellcode yang memuatkan DLL modul serta resolve exports

Arkib libcurl yang lebih lama pula cuma ada empat fail, termasuk modul persistence yang didaftarkan sebagai Windows Service dan komponen utama. Reka bentuk ini sengaja berlapis: penyahkodan pemalar di sini, obfuscated stack strings di sana, hashing Windows API berasaskan ROR dengan nilai putaran khusus per sampel (11 dalam sampel yang dianalisis), dan format PE tersuai yang dikecilkan untuk komponen utama terakhir. Setiap lapisan wujud untuk membuat analisis statik berputih mata, dan setiap lapisan mengandaikan lapisan sebelumnya sudah pun dibakar.

C2: HTTPS ke WebSockets, dan cookie penuh maklumat sistem

DLL komunikasi pada komponen utama mengeksport satu fungsi bernama SystemInfo, dengan sepuluh entry point yang membuka, mengekalkan, dan menutup sambungan WebSockets ke C2. (Varian kedua menukar WinINet dengan Libwebsockets.)

Beacon pertama berupa GET HTTPS yang nampak tidak bersalah ke /library/zip/ pada hos C2 (corp.tripswithengine[.]com, port 443, user-agent tetap firefox/21.0). Bahagian menariknya ialah apa yang menumpang dalam header Set-Cookie: data Base64 yang menyahmampat menjadi blok JSON berisi nama komputer, nama pengguna, nama proses, proses induk, dan senarai ProgramFiles. Kemudian sambungan dinaik taraf ke WebSockets dan bertukar ke protokol binari.

Mesej binari itu menggunakan susun atur header yang semua pertahanan patut belajar mengenali:

import struct

# NeedyMantis C2 message header - 44 bytes. Offsets follow the
# Microsoft Threat Intelligence analysis of the "dnsapi.dll" config.
#   0x00  16-byte XOR key
#   0x10  uncompressed payload length  (uint32)
#   0x14  compressed payload length    (uint32)
#   0x18  command number               (uint32)
#   0x28  data length                  (uint32)
#   0x2c  optional data begins
HDR = struct.Struct("<16sIII12xI")  # 16 + 4 + 4 + 4 + 12 + 4 = 44

xor_key, ulen, clen, cmd, dlen = HDR.unpack_from(buf, 0)

# The header is XOR-encoded from offset 0x18; any payload is
# compressed with RtlCompressBuffer and optionally RC4-encrypted.

Protokol key-exchange sama paranoidnya: klien menerima 32 bytes dari server lalu mengabaikannya, membina buffer rawak 1024-byte yang 32 bytes pertamanya menjadi kunci RC4, kemudian menghantar buffer bersulit RC4 yang bermula dengan google.com sebagai penanda yang boleh dinyahsulit server untuk membuktikan persetujuan kunci. Setiap medan dalam pertukaran itu direka supaya laluan nyahsulit yang murah tidak memberi apa-apa tanpa konteks penuh.

Apa penyerang boleh dan tidak boleh buat dengannya

Komponen utama sengaja kecil. Perintah yang dihantar ke C2 cuma 1110 (nama komputer + nama pengguna), 1112 (identifier tetap), dan 1150 (keep-alive). Perintah yang diterima daripada C2 pula tempat kuasa sebenar berada:

• 1020 — muatkan modul
• 1030 — nyahmuatkan modul
• 1050 / 1150 — hantar data ke modul
• 1070 — matikan active flags

Set muat/nyahmuat/hantar itu keseluruhan ceritanya: NeedyMantis ialah plugin host, dan plugin inilah yang melakukan aktiviti pengintipan sebenar. Microsoft menyatakan kemampuan modul itu masih belum disahkan kerana ia berjalan di lapisan modul, satu tahap lagi di atas loader yang belum dibuka. Seperti kata Andrew Costis, engineering manager di AttackIQ, kepada Dark Reading: "Finding the first stage may not reveal everything an operator can do."

Jadi anggap mana-mana senarai kemampuan sebagai lantai, bukan siling. Platform ini boleh memuatkan benda; satu-satunya soalan ialah apa yang operator muatkan untuk mangsa tertentu.

Mempertahankan separuh kedua breach

Cadangan Microsoft sendiri ialah senarai semak yang boleh dibuat mana-mana SOC hari ini: buru trafik egress ke corp.tripswithengine[.]com dan user-agent firefox/21.0, hidupkan cloud-delivered protection dan block-at-first-sight, dan — yang paling penting — jalankan EDR dalam block mode. Frasa Microsoft berbaloi diulang: "EDR in block mode works behind the scenes to remediate malicious artifacts that are detected post-breach." Ini pertahanan yang jelas bukan berasaskan signature: ia menangkap kelakuan DLL yang tidak dikenali walaupun antivirus belum pernah melihat keluarga ini.

Analisis Dark Reading sampai pada kesimpulan sama dari arah lain. Costis menunjukkan peluang pengesanan terletak pada kelakuan — penyalinan fail, pemuatan DLL, aktiviti jaringan yang luar biasa — bukan pada padanan artifact, dan mengesyorkan adversarial exposure validation untuk menguji sama ada kawalan anda benar-benar dapat mengganggu deployment hands-on-keyboard yang diperhatikan Microsoft. Kebenaran yang tidak selesa: kebanyakan organisasi boleh bercerita panjang tentang cara mereka menghalang akses awal, tetapi senyap bila ditanya apa yang berlaku 60 hari selepas itu.

Bagi keluarga malware yang dihantar pada bulan Mac dan muncul dalam log anda pada bulan Mei memakai kostum dbghelp.dll, melayan kelakuan post-breach sebagai permukaan pengesanan kelas pertama bukan lagi pilihan. Jiran yang sudah ada rangka kerja seumpamanya dalam jaringan mereka — implant Windows yang membenarkan panel AI mengundi langkah seterusnya, atau rantaian penghantaran yang menumpang domain placeholder yang tidak diaudit sesiapa — adalah bukti ekosistem ini terus mencari jalan untuk kekal senyap. Pertahanan yang berkesan terhadap semuanya sama: anggap pintu utama sudah pun dirobohkan, dan perhatikan apa yang berlaku selepas itu.

NeedyMantis sendiri adalah case study, bukan krisis — Microsoft belum mengaitkannya dengan mana-mana negara China yang disahkan, dan deployment yang diperhatikannya terhad. Kesimpulannya struktural. Jika rangka kerja wujud semata-mata untuk terus hidup pada separuh kedua intrusion anda, pelan hala tuju anda perlu ada separuh kedua juga.

Sumber

• Microsoft Threat Intelligence: NeedyMantis: Unpacking a post-compromise malware family used in targeted operations
• Dark Reading: 'NeedyMantis' Provides Long-Term Access to Compromised Networks