В своём техническом анализе компания Microsoft сообщила, что хакеры использовали семейство вредоносных программ под названием NeedyMantis для обеспечения долгосрочного доступа к сетям, в которые они уже проникли.
Это вредоносное ПО было обнаружено в ходе небольшого числа целенаправленных атак на телекоммуникационные организации, университеты, некоммерческие медицинские учреждения, межправительственные организации и подрядчиков государственных органов. Его использование датируется как минимум октябрем 2025 года.
Microsoft обнаружила NeedyMantis в ходе проверки индикаторов, полученных в результате расследования «Лаборатории Касперского» по поводу атаки на цепочку поставок DAEMON Tools. В ходе этой атаки официальные подписанные установщики программы для работы с образами дисков DAEMON Tools Lite содержали вредоносный код с 8 апреля 2026 года. 5 мая разработчик заменил их на чистую версию.
Microsoft отслеживает активность, связанную с этой атакой, под индексом Storm-3069. Компания отмечает, что Storm-3069 — это одна из групп, использующих NeedyMantis, хотя само вредоносное ПО, распространяющееся посредством атаки на цепочку поставок, обнаружено не было. Специалисты по безопасности могут проверить свои сети с помощью хешей файлов, доменов, путей к файлам и поисковых запросов, которые Microsoft опубликовала и перечислила ниже.
В случаях, проанализированных Microsoft, NeedyMantis поставлялось в виде набора из трёх частей: копии легитимной программы, вредоносной DLL, названной в честь файла, который загружает эта программа, и зашифрованного архива с тем же именем, что и у DLL. При запуске программа загружает вредоносную DLL. Это называется «боковой загрузкой DLL» (DLL sideloading).
К легитимным программам, используемым таким образом, относятся инструмент перевода Poedit, утилита curl, текстовый редактор Vim и инструмент удаленного доступа TightVNC. Вредоносная программа также маскировалась под DLL-файлы от Microsoft Office, Broadcom, Intel и NVIDIA.
В образце, подробно проанализированном Microsoft, вредоносный файл заменил WinSparkle.dll — компонент обновления, используемый Poedit.