微软分析NeedyMantis与Daemon Tools攻击链
微软发布了对 NeedyMantis 恶意软件框架的详细分析。该框架被一个中国背景威胁行为者用于攻击电信和政府组织，并在 2026 年 5 月 Daemon Tools 供应链攻击相关 IoC 的后续分析中被发现。攻击者通过官方网站分发被投毒的 Daemon Tools 版本，感染了数千台计算机，其中约十几台被部署后门；受影响组织包括白俄罗斯、俄罗斯、泰国的政府、科研、制造和零售机构。微软新报告称，NeedyMantis 是 Daemon Tools 攻击者用于针对性攻击的模块化后渗透恶意软件，目标包括大学、政府承包商、电信企业、医疗非营利和政府间组织。微软认为，该恶意软件通常在攻击者已经获得目标环境访问权限后部署，用于维持长期访问和支持后续行动。它至少自 2025 年 10 月起被用于攻击，可能被更多位于中国的威胁行为者使用。Daemon Tools 攻击背后的组织被追踪为 Storm-3069，微软未将其归因于中国民族国家行为者。
NeedyMantis 仅用于针对性攻击，采用模块化架构，包括多个加载器、自定义加密文件归档和可执行文件格式，以及用 C++ 和 x64 shellcode 编写的模块化组件，设计目标是规避检测和扩展能力。
感染链从第一阶段加载器和文件归档开始，文件归档与合法软件一起打包。其滥用 DLL 侧加载执行加载器，加载器再提取并运行第二阶段加载器，以执行主恶意组件。文件归档包含多个合法软件和系统组件、第二阶段加载器、恶意软件配置、基于 WebSockets 的通信 DLL，以及用于加载模块 DLL 和解析导出的 shellcode。
微软提到，在一次已观察事件中，操作员在 hands-on-keyboard 活动中使用 Impacket 工具包，从网络共享复制合法软件、恶意 DLL 和文件归档，并在目标设备上执行。该活动发生在攻击者已经获得环境访问权限之后。第二阶段加载器提取嵌入数据，并对其进行解码和解压缩；得到的数据是 PE 文件的最小化版本，形式为使用自定义可执行文件格式的 DLL。
NeedyMantis 主组件通过 10 个函数编排 C&C 通信，用于发起和维持 WebSockets 连接。它还会向 C&C 发送系统和用户信息，并根据收到的命令加载或卸载模块、向模块分发数据以及关闭标志。微软指出，主组件的加载、卸载和数据分发命令表明 NeedyMantis 可通过额外模块扩展功能，但这些模块的能力尚未确认。
Re: 微软分析NeedyMantis与Daemon Tools攻击链
感谢分享，这个分析信息量很大。NeedyMantis 看起来不是负责初始入侵的，而是在攻击者已经拿到访问权限后，用于长期驻留和后续操作的模块化后渗透框架，这点从滥用 DLL 侧加载、多阶段加载器、自定义归档和可执行格式，以及用 WebSockets 维持 C&C 都能看出来。 Daemon Tools 供应链投毒导致数千台机器被感染，但最终只有约十几台被部署后门，说明攻击者可能是在大范围投放后筛选高价值目标；受影响对象又集中在政府、科研、制造、零售、电信、医疗等领域，针对性挺明显。微软提到 Impacket 和 hands-on-keyboard 操作，也说明相关攻击发生在获得环境权限之后。比较值得继续关注的是，NeedyMantis 主组件有加载、卸载和分发模块的命令，但模块能力尚未确认，后续可能还有更多细节。感谢整理。Re: 微软分析NeedyMantis与Daemon Tools攻击链
感谢楼主整理。看完感觉这条攻击链的关键点还是“合法软件加供应链投毒”做入口，再靠 DLL 侧加载和自定义归档把恶意组件藏进正常文件里，检测上确实更棘手。NeedyMantis 本身像是后渗透阶段的模块化框架，重点不在初始入侵，而在拿到访问权限后维持长期访问、按需加载和卸载模块，并通过 WebSockets 维持 C&C。微软提到至少从 2025 年 10 月开始使用，目标覆盖大学、政府承包商、电信、医疗非营利和政府间组织，这个范围挺广。另外 Storm-3069 没有被归因到中国民族国家行为者，但 NeedyMantis 可能被更多中国背景威胁行为者使用，这个区分值得留意。对防守方来说，除了 IoC，合法软件目录里的异常加载、网络共享复制和 Impacket 的动手操作痕迹可能都是比较有价值的观察点。期待后续有模块能力的进一步披露。Re: 微软分析NeedyMantis与Daemon Tools攻击链
感谢分享，这条信息量不小。NeedyMantis 看起来定位很明确，不是广撒网式恶意软件，而是攻击者获得访问权限后使用的模块化后渗透框架，主要用来维持长期访问和支持后续行动。感染链里滥用 DLL 侧加载、多阶段加载器、自定义加密归档和可执行格式，再加上 WebSockets 通信和模块加载卸载，规避检测和扩展能力的思路比较完整。Daemon Tools 官方分发被投毒这点也值得警惕，感染了数千台但只有十几台被部署后门，说明攻击者筛选目标很谨慎。微软把 Daemon Tools 背后的组织追踪为 Storm-3069，但没有归因于中国民族国家行为者，同时提到 NeedyMantis 可能被更多位于中国的威胁行为者使用，这个区分挺关键。后续如果能披露更多模块能力或处置进展就更好了。
页:
[1]