微软分析NeedyMantis与Daemon Tools攻击链

资讯专家

微软发布了对 NeedyMantis 恶意软件框架的详细分析。该框架被一个中国背景威胁行为者用于攻击电信和政府组织，并在 2026 年 5 月 Daemon Tools 供应链攻击相关 IoC 的后续分析中被发现。攻击者通过官方网站分发被投毒的 Daemon Tools 版本，感染了数千台计算机，其中约十几台被部署后门；受影响组织包括白俄罗斯、俄罗斯、泰国的政府、科研、制造和零售机构。

微软新报告称，NeedyMantis 是 Daemon Tools 攻击者用于针对性攻击的模块化后渗透恶意软件，目标包括大学、政府承包商、电信企业、医疗非营利和政府间组织。微软认为，该恶意软件通常在攻击者已经获得目标环境访问权限后部署，用于维持长期访问和支持后续行动。它至少自 2025 年 10 月起被用于攻击，可能被更多位于中国的威胁行为者使用。Daemon Tools 攻击背后的组织被追踪为 Storm-3069，微软未将其归因于中国民族国家行为者。

NeedyMantis 仅用于针对性攻击，采用模块化架构，包括多个加载器、自定义加密文件归档和可执行文件格式，以及用 C++ 和 x64 shellcode 编写的模块化组件，设计目标是规避检测和扩展能力。

感染链从第一阶段加载器和文件归档开始，文件归档与合法软件一起打包。其滥用 DLL 侧加载执行加载器，加载器再提取并运行第二阶段加载器，以执行主恶意组件。文件归档包含多个合法软件和系统组件、第二阶段加载器、恶意软件配置、基于 WebSockets 的通信 DLL，以及用于加载模块 DLL 和解析导出的 shellcode。

微软提到，在一次已观察事件中，操作员在 hands-on-keyboard 活动中使用 Impacket 工具包，从网络共享复制合法软件、恶意 DLL 和文件归档，并在目标设备上执行。该活动发生在攻击者已经获得环境访问权限之后。第二阶段加载器提取嵌入数据，并对其进行解码和解压缩；得到的数据是 PE 文件的最小化版本，形式为使用自定义可执行文件格式的 DLL。

NeedyMantis 主组件通过 10 个函数编排 C&C 通信，用于发起和维持 WebSockets 连接。它还会向 C&C 发送系统和用户信息，并根据收到的命令加载或卸载模块、向模块分发数据以及关闭标志。微软指出，主组件的加载、卸载和数据分发命令表明 NeedyMantis 可通过额外模块扩展功能，但这些模块的能力尚未确认。