Microsoft cảnh báo mã độc NeedyMantis dùng để duy trì truy cập lâu dài
"Microsoft reported a malware family called NeedyMantis being used for long-term access in a small number of targeted intrusions, including telecommunications, universities, medical nonprofits, intergovernmental organizations, and government contractors. The malware uses DLL sideloading, HTTPS/WebSocket C2, and modular payload loading; Microsoft published SHA-256 hashes, domains, file paths, and hunting queries, and Defender detects it as TrojanDropper:Win64/NeedyMantis and Behavior:Win64/NeedyMantis."
Rủi ro cao vì mã độc hỗ trợ truy cập dai dẳng, nạp mô-đun bổ sung và giao tiếp C2 qua HTTPS/WebSocket; cần đối soát IOC và kiểm tra dấu hiệu DLL sideloading.
Có thể gây gián đoạn vận hành, rò rỉ dữ liệu và tăng chi phí ứng phó sự cố, đặc biệt với tổ chức mục tiêu chọn lọc trong các lĩnh vực nhạy cảm.
Microsoft cho biết một họ mã độc có tên NeedyMantis đã được dùng trong một số ít vụ xâm nhập có chủ đích để duy trì quyền truy cập lâu dài vào hệ thống đã bị chiếm quyền. Các mục tiêu được ghi nhận gồm viễn thông, đại học, tổ chức phi lợi nhuận y tế, tổ chức liên chính phủ và nhà thầu chính phủ. Hoạt động này được theo dõi từ ít nhất tháng 10/2025.
Theo phân tích kỹ thuật, NeedyMantis thường xuất hiện dưới dạng DLL sideloading với ba thành phần: một chương trình hợp pháp, một DLL độc hại và một tệp lưu trữ mã hóa. Mã độc sau đó kết nối tới C2 qua HTTPS rồi chuyển sang WebSocket để nạp hoặc gỡ các mô-đun bổ sung. Microsoft cũng công bố SHA-256 hashes, domain, đường dẫn tệp và hunting queries để hỗ trợ rà soát.
Đối với phòng thủ, Microsoft Defender Antivirus phát hiện mẫu này dưới tên TrojanDropper:Win64/NeedyMantis và Behavior:Win64/NeedyMantis. Khuyến nghị các đội an ninh kiểm tra nhật ký, đối chiếu IOC đã công bố, và rà soát các đường dẫn bất thường như Poedit, curl, Vim hoặc TightVNC trong môi trường nội bộ.