بخش تحلیل تهدیدات مایکروسافت (Microsoft Threat Intelligence) از کشف NeedyMantis پرده برداشته است؛ یک چارچوب بدافزاری ماژولار که برای مراحل پس از نفوذ (Post-compromise) طراحی شده تا دسترسی‌های مخفیانه عامل تهدید را در شبکه‌هایی که پیش‌تر مورد حمله قرار گرفته‌اند، حفظ کند.
اهداف و ماهیت حملات
این بدافزار در تعداد محدودی از نفوذهای بسیار هدفمند شناسایی شده است که سازمان‌های زیر را شامل می‌شوند:
- ارائه‌دهندگان خدمات مخابراتی (Telecommunications)
- دانشگاه‌ها و مؤسسات آموزشی
- سازمان‌های پزشکی غیرانتفاعی
- نهادهای بین‌دولتی و پیمانکاران دولتی
شواهد نشان می‌دهد فعالیت‌های مرتبط با این بدافزار حداقل از اکتبر ۲۰۲۵ آغاز شده است. این موضوع بیانگر آن است که اپراتورها به جای جرایم سایبری گسترده، از این چارچوب برای جاسوسی بلندمدت و حفظ دسترسی‌های استراتژیک استفاده کرده‌اند.
تحلیل فنی و زنجیره سرایت
محققان مایکروسافت در حین بررسی نشانه‌های مرتبط با حمله زنجیره تأمین (Supply-chain compromise) در نرم‌افزار DAEMON Tools (که با نام Storm-3069 ردیابی می‌شود)، به NeedyMantis دست یافتند. اگرچه Storm-3069 به فعالیت‌های عاملان تهدید مستقر در چین نسبت داده شده است، اما شواهد نشان می‌دهد که NeedyMantis لزوماً از طریق زنجیره تأمین DAEMON Tools توزیع نشده، بلکه پس از دستیابی به دسترسی اولیه (Initial Access) از طریق روش‌های مختلف مستقر شده است.
در یکی از موارد، مهاجم از ابزار Impacket برای کپی کردن نرم‌افزارهای قانونی، یک DLL مخرب و یک آرشیو رمزنگاری شده از روی یک Network Share استفاده کرده و سپس بسته را روی دستگاه هدف اجرا نموده است.
تکنیک‌های پنهان‌سازی و اجرا
این بدافزار برای اجرا از تکنیک DLL Sideloading استفاده می‌کند. در این روش، یک برنامه قانونی فریب داده می‌شود تا یک کتابخانه (Library) مخرب را که خود را به جای یک جزء ضروری جا زده است، بارگذاری کند. مهاجمان از بسته‌های نرم‌افزاری مانند Poedit، curl، Vim و TightVNC سوءاستفاده کرده و فایل‌های مخرب را در قالب کتابخانه‌های Microsoft Office، Broadcom، Intel یا NVIDIA استتار کرده‌اند.
فرآیند اجرا در چندین مرحله صورت می‌گیرد:
- لودر مرحله اول: یک Payload مرحله دوم را از یک آرشیو سفارشی استخراج می‌کند. برای پیچیده کردن تحلیل‌های استاتیک، آفست‌ها، کلیدهای XOR و نام فایل‌ها در هر نمونه تغییر می‌کنند.
- تکنیک‌های ضد-تحلیل: لودر برای دور زدن تحلیلگران، نام APIها را پنهان کرده و از توابعی مانند
ProcessDebugFlagsوThreadHideFromDebuggerبرای شناسایی محیط‌های دیباگ استفاده می‌کند. - اجرای کد: در نهایت، یک فایل با پسوند
.ps1(که در واقع حاوی x64 shellcode است) اجرا شده و مؤلفه اصلی NeedyMantis را رمزگشایی و استخراج می‌کند.
ارتباطات و فرماندهی (C2)
مؤلفه اصلی بدافزار، ترافیک ارتباطی با سرور فرماندهی و کنترل (C2) و مدیریت ماژول‌های قابل دانلود را بر عهده دارد. ارتباطات اولیه از طریق HTTPS به دامنه corp.tripswithengine[.]com روی پورت 443 برقرار می‌شود. در این مرحله، جزئیات سیستم (مانند نام کامپیوتر، نام کاربر و لیست پردازش‌ها) به صورت Base64 در هدر Set-Cookie ارسال می‌گردد.
پس از احراز هویت، ارتباطات به WebSockets ارتقا یافته و از یک پروتکل باینری سفارشی با رمزنگاری XOR و RC4 استفاده می‌کند. این معماری به مهاجم اجازه می‌دهد بدون نیاز به جایگزینی کل Implant، قابلیت‌های جدیدی را از طریق ماژول‌ها به بدافزار اضافه کند.
توصیه‌های امنیتی برای تیم‌های SOC
با توجه به اینکه NeedyMantis تنها پس از نفوذ اولیه مستقر می‌شود، شناسایی آن باید منجر به یک بررسی جامع (Incident Investigation) شامل سرقت اعتبارنامه‌ها (Credential Theft)، حرکت عرضی (Lateral Movement) و شناسایی سرورهای Staging شود.
اقدامات فوری پیشنهادی:
- مانیتورینگ ارتباطات خروجی به دامنه
corp.tripswithengine[.]com. - بررسی بارگذاری‌های غیرمنتظره DLL و اجرای مشکوک ابزار Impacket.
- فعال‌سازی EDR در حالت Block Mode و اعمال قوانین Attack Surface Reduction (ASR) برای مسدود کردن اسکریپت‌های Obfuscated و فایل‌های اجرایی غیرمعتبر.
