Microsoft investiga o NeedyMantis, framework modular usado em ataques direcionados
A Microsoft analisou o NeedyMantis, um framework de malware empregado em operações contra organizações de telecomunicações e órgãos governamentais. A ferramenta foi identificada durante a investigação de indicadores ligados ao ataque à cadeia de suprimentos do Daemon Tools, ocorrido em maio de 2026.
Na ocasião, versões adulteradas do programa foram distribuídas pelo site oficial e infectaram milhares de computadores. Em cerca de uma dúzia de equipamentos, os invasores instalaram um backdoor. Entre os alvos estavam organizações governamentais, científicas, industriais e varejistas de Belarus, Rússia e Tailândia.
Segundo a análise da Microsoft, o NeedyMantis é um malware modular de pós-comprometimento. Isso significa que, em geral, não é usado para obter o primeiro acesso a uma rede: ele entra em ação depois que os atacantes já conseguiram invadir o ambiente. A ferramenta pode ajudar a manter o acesso por períodos prolongados e dar suporte a etapas posteriores da operação.
As atividades atribuídas ao framework remontam a pelo menos outubro de 2025. A Microsoft considera provável que outros grupos de ameaças baseados na China também tenham utilizado a estrutura. O grupo associado ao ataque à cadeia de suprimentos do Daemon Tools é rastreado como Storm-3069, mas não foi atribuído a um ator estatal chinês.
Os ataques observados foram direcionados a universidades, prestadoras de serviços para governos, empresas de telecomunicações, organizações médicas sem fins lucrativos e entidades intergovernamentais. O uso restrito a alvos específicos e a capacidade de ampliar funções por meio de módulos indicam uma ferramenta voltada a operações planejadas, e não a uma campanha indiscriminada.
Como funciona a cadeia de infecção
A execução do NeedyMantis envolve diferentes estágios. O processo começa com um carregador inicial e um arquivo compactado distribuídos junto a um software legítimo. Para iniciar a execução, os operadores recorrem ao *DLL sideloading*: uma técnica que leva um programa legítimo a carregar uma biblioteca maliciosa colocada em seu caminho de execução.
Depois de ativado, o primeiro carregador extrai e executa um segundo componente, responsável por iniciar o núcleo do framework. O pacote compactado pode incluir arquivos legítimos do programa e do sistema, a configuração do malware, o carregador secundário, uma biblioteca de comunicação baseada em WebSockets e shellcode utilizado para carregar módulos DLL.
Em um dos incidentes analisados, um operador usou o kit Impacket para copiar arquivos de um compartilhamento de rede para um dispositivo escolhido como alvo. Entre os itens transferidos estavam o software legítimo, a DLL maliciosa e o arquivo compactado. A ação ocorreu quando os invasores já tinham acesso ao ambiente comprometido.
O segundo carregador extrai dados incorporados ao arquivo e os decodifica e descomprime. O resultado é uma versão reduzida de um arquivo PE, estruturada como uma DLL em um formato executável personalizado. O uso de formatos próprios, combinado a componentes em C++ e shellcode x64, torna a análise e a detecção mais complexas.
Comunicação e módulos adicionais
O componente principal coordena a comunicação com o servidor de comando e controle, ou C2. Para isso, conta com dez funções relacionadas à abertura e à manutenção de conexões WebSockets. Por esse canal, também envia informações sobre o sistema e a conta de usuário para os operadores.
Com base nos comandos recebidos, o núcleo pode carregar ou remover módulos, encaminhar dados a esses componentes e alterar sinalizadores internos. Essa arquitetura permite adaptar o framework às necessidades de cada operação. No entanto, a Microsoft informa que as capacidades específicas dos módulos adicionais ainda não foram confirmadas.
A modularidade dificulta a avaliação completa do alcance do malware: uma instalação pode não conter todos os componentes, e as funções disponíveis podem variar conforme o alvo. Por isso, identificar apenas o arquivo principal não basta para determinar o que os invasores fizeram ou tentaram fazer em uma rede.
O que as organizações podem fazer
O caso reforça a importância de investigar atividades que ocorram depois da invasão inicial. Uma ferramenta como o NeedyMantis pode ser implantada somente após o atacante obter acesso por outro meio. Assim, a análise deve considerar não apenas o arquivo malicioso, mas também a sequência de ações, as contas utilizadas e os sistemas acessados.
A presença de software legítimo ao lado de uma DLL suspeita merece atenção especial. Equipes de segurança podem verificar se bibliotecas carregadas por programas conhecidos estão em diretórios esperados, se possuem assinaturas válidas e se foram criadas ou modificadas em horários incomuns. Alterações inesperadas na estrutura de pastas de aplicações também podem indicar tentativa de *DLL sideloading*.
O monitoramento de conexões WebSockets pode ajudar a identificar comunicações suspeitas, sobretudo quando processos que normalmente não acessam a internet passam a manter conexões persistentes. Esse sinal deve ser avaliado em conjunto com outros dados, como destino, volume de tráfego, processo responsável e comportamento do equipamento.
Também é recomendável revisar o uso de ferramentas administrativas e de movimentação lateral, incluindo o Impacket. Como esse tipo de recurso pode ser utilizado em atividades legítimas, bloqueá-lo indiscriminadamente pode causar impactos operacionais. O mais eficaz é restringir seu uso a administradores autorizados e investigar execuções fora dos padrões habituais.
Por fim, organizações devem manter inventários de software, aplicar atualizações, limitar privilégios e segmentar redes para reduzir a propagação de uma invasão. Se houver suspeita de comprometimento, preservar registros e imagens dos sistemas afetados pode ser decisivo para reconstruir a cadeia de ataque, identificar persistência e impedir que o acesso seja restabelecido.