Microsoft revela NeedyMantis, un malware modular para mantener acceso prolongado

Microsoft Threat Intelligence documentó NeedyMantis, una familia de malware modular utilizada en un número limitado de intrusiones dirigidas contra empresas de telecomunicaciones, universidades, organizaciones intergubernamentales, entidades médicas sin fines de lucro y contratistas gubernamentales.

El implante no constituye normalmente el punto de entrada. La telemetría indica que los operadores lo despliegan después de comprometer la red para conservar acceso durante más tiempo y habilitar operaciones posteriores. La actividad conocida se remonta al menos a octubre de 2025.

La cadena combina un cargador inicial, un archivo cifrado y comprimido de formato propio, una segunda etapa y el componente principal. Los atacantes empaquetan DLL maliciosas junto con programas legítimos como Poedit, curl, Vim o TightVNC y aprovechan carga lateral de DLL para iniciar la ejecución.

El segundo cargador reconstruye una DLL almacenada en un formato ejecutable reducido. Después, el componente principal establece un canal WebSockets, transmite información del equipo y acepta órdenes para cargar, descargar o enviar datos a módulos adicionales. Microsoft advierte que las capacidades concretas de esos módulos todavía no están confirmadas.

Microsoft encontró NeedyMantis al ampliar la investigación sobre indicadores de la intrusión en la cadena de suministro de DAEMON Tools. La compañía observó al menos a Storm-3069, el grupo asociado a esa campaña, utilizando el malware, pero no vio que el propio NeedyMantis se distribuyera mediante el instalador comprometido.

La actividad coincide con operaciones de actores que trabajan desde China, aunque Microsoft no atribuye Storm-3069 a un gobierno y tampoco concluye que todas las muestras pertenezcan al mismo operador. Esa distinción evita convertir una asociación técnica en una atribución estatal no demostrada.

El informe aporta hashes, rutas, reglas de búsqueda y un dominio de mando y control. Como el implante aparece después de que el atacante ya obtuvo acceso, una coincidencia debe tratarse como evidencia de una intrusión más amplia y no como un archivo aislado que basta con eliminar.