شرکت مایکروسافت به تحلیل یک چارچوب بدافزاری (Malware Framework) پرداخته است که توسط یک عامل تهدید مستقر در چین برای حمله به سازمان‌های دولتی و شرکت‌های مخابراتی مورد استفاده قرار می‌گیرد.
کشف و پیشینه حمله
این چارچوب که NeedyMantis نامیده شده، در جریان تحلیل شاخص‌های آلودگی (IoCs) مربوط به حمله زنجیره تأمین (Supply Chain Attack) نرم‌افزار Daemon Tools در می ۲۰۲۶ کشف شد. در این عملیات، هزاران سیستم از طریق نسخه‌های آلوده Daemon Tools که در وب‌سایت رسمی توزیع شده بود، دچار سرایت شدند و در نهایت یک درب‌پشتی (Backdoor) روی ده‌ها سیستم هدف نصب گردید. سازمان‌های دولتی، علمی، تولیدی و خرده‌فروشی در کشورهای بلاروس، روسیه و تایلند از قربحان این حمله بوده‌اند.
ویژگی‌های فنی و معماری
مایکروسافت گزارش داده است که NeedyMantis یک بدافزار ماژولار است که معمولاً پس از دسترسی اولیه عامل تهدید به محیط هدف مستقر می‌شود تا دسترسی طولانی‌مدت را حفظ کرده و عملیات‌های بعدی را پشتیبانی کند. این بدافزار از معماری ماژولاری تشکیل شده که شامل موارد زیر است:
- لودرهای متعدد (Multiple Loaders)
- آرشیوهای فایلی رمزنگاری شده سفارشی
- فرمت‌های فایل اجرایی خاص
- اجزای ماژولار نوشته شده به زبان C++ و x64 shellcode برای دور زدن سیستم‌های شناسایی
زنجیره اجرا و مکانیزم سرایت
زنجیره سرایت NeedyMantis با یک لودر مرحله اول و یک آرشیو فایلی که در کنار نرم‌افزارهای قانونی قرار دارد، آغاز می‌شود. این بدافزار از تکنیک DLL Sideloading برای اجرای لودر استفاده می‌کند و سپس لودر مرحله دوم را برای اجرای جزء اصلی بدافزار فراخوانی می‌نماید.
در برخی موارد مشاهده شده است که مهاجمان از ابزار Impacket برای کپی کردن نرم‌افزارهای قانونی و DLLهای مخرب از طریق اشتراک‌های شبکه (Network Share) و اجرای آن‌ها روی دستگاه هدف استفاده کرده‌اند.
ارتباط با فرماندهی و کنترل (C2)
جزء اصلی NeedyMantis ارتباطات با سرور فرماندهی و کنترل (C&C) را از طریق ۱۰ تابع طراحی شده برای ایجاد و حفظ اتصال WebSockets مدیریت می‌کند. این بدافزار اطلاعات سیستم و کاربر را به سرور ارسال کرده و بر اساس دستورات دریافتی، می‌تواند ماژول‌های جدیدی را بارگذاری یا حذف کند و داده‌ها را بین ماژول‌ها جابه‌جا نماید.
گروه هکری پشت این حملات با نام Storm-3069 ردیابی شده است، هرچند مایکروسافت اشاره کرده که این گروه هنوز به طور رسمی به یک سازمان دولتی خاص در چین نسبت داده نشده است.
