Nhóm NeedyMantis duy trì truy cập dài hạn vào mạng bị xâm nhập
"Microsoft reported that a China-based threat actor, tracked as "NeedyMantis," used a previously unidentified malware framework to maintain long-term access in targeted intrusions. The activity affected telecommunications, universities, medical, and government-related organizations; no specific CVE was mentioned, and the key impact was persistent unauthorized access."
Rủi ro chính là truy cập trái phép kéo dài, có thể dẫn đến di chuyển ngang và đánh cắp dữ liệu mà khó phát hiện sớm.
Có thể ảnh hưởng đến tính liên tục vận hành và làm tăng chi phí ứng phó sự cố, đặc biệt với các tổ chức có hạ tầng phân tán.
Microsoft cho biết một tác nhân đe dọa có liên hệ với Trung Quốc, được theo dõi với tên NeedyMantis, đã sử dụng một khung mã độc chưa từng được xác định trước đây để duy trì truy cập trái phép dài hạn trong các vụ xâm nhập có chủ đích. Hoạt động này được ghi nhận nhắm vào các tổ chức trong lĩnh vực viễn thông, đại học, y tế và cơ quan chính phủ.
Điểm đáng chú ý là chiến dịch này không tập trung vào khai thác một CVE cụ thể, mà chủ yếu nhằm giữ quyền hiện diện bền vững trong môi trường bị xâm nhập. Điều này làm tăng rủi ro bị trinh sát nội bộ, di chuyển ngang và đánh cắp dữ liệu trong thời gian dài mà khó bị phát hiện.
Khuyến nghị cho đội kỹ thuật: rà soát telemetry, kiểm tra tài khoản đặc quyền, đối chiếu IOC từ nguồn tình báo tin cậy, và tăng cường giám sát hành vi trên máy chủ cùng điểm cuối. Đồng thời, cần thực hiện xoay vòng thông tin xác thực, kiểm tra phân đoạn mạng, và xác minh khả năng phát hiện các dấu hiệu persistent access trong hạ tầng hiện tại.