Microsoft раскрыла NeedyMantis: вредонос для долгосрочного закрепления в сетях

Специалисты Microsoft сообщили о вредоносном семействе NeedyMantis, которое используется для удержания долгосрочного доступа в сетях, уже скомпрометированных хакерами. Инструмент применяется в небольшом числе целевых вторжений и демонстрирует целенаправленный, а не массовый характер атак. По данным компании, активность с использованием NeedyMantis прослеживается как минимум с недавнего времени, а среди пострадавших — организации из чувствительных отраслей: телекоммуникации, высшее образование, медицинские некоммерческие организации, межправительственные структуры и подрядчики государственных оборонных заказов.

Подробности

По описанию Microsoft, NeedyMantis представляет собой вредоносное ПО, предназначенное для закрепления в уже взломанной среде и поддержания постоянного присутствия злоумышленника в сети жертвы. Такой подход характерен для целевых кампаний, где после первоначального проникновения атакующие стремятся не быть обнаруженными и сохранять контроль как можно дольше, чтобы развивать атаку, собирать данные или готовить дальнейшие действия. География и отраслевой профиль жертв указывают на выборочный характер атак: речь идёт о небольшом количестве инцидентов, но в организациях, представляющих повышенный интерес для кибершпионажа и сложных APT-групп. Среди целей — телекоммуникационные операторы, университеты, медицинские НКО, межправительственные организации и оборонные подрядчики, то есть структуры, обладающие ценной информацией и критичной инфраструктурой. Microsoft не раскрывает в кратком описании конкретные CVE или версии уязвимых продуктов, поскольку NeedyMantis рассматривается прежде всего как инструмент постэксплуатации, а не как эксплойт для первоначального доступа. Это означает, что для его развёртывания злоумышленникам уже требуется скомпрометированная учётная запись или иной канал проникновения в среду.

Что делать

Организациям, особенно из перечисленных отраслей, рекомендуется исходить из того, что закрепление в сети — отдельный этап атаки, который нужно обнаруживать и блокировать. Базовые меры включают: - усиление мониторинга конечных точек и серверов на предмет подозрительной активности, связанной с закреплением и удалённым управлением; - строгий контроль учётных записей и привилегий: минимизация прав, защита сервисных и административных аккаунтов, обязательное использование MFA везде, где это возможно; - сегментацию сети, чтобы ограничить перемещение злоумышленника внутри инфраструктуры после компрометации; - своевременное обновление ПО, VPN- и периметровых решений, а также контроль подозрительных подключений и нетипичных сессий; - проверку индикаторов компрометации, публикуемых вендорами, и сверку с ними журналов безопасности. Компаниям также стоит пересмотреть сценарии реагирования на инциденты с учётом того, что после первоначального взлома атакующие могут оставаться в сети длительное время. Итог: NeedyMantis — напоминание о том, что современные атаки редко заканчиваются на этапе проникновения, и ключевой задачей защиты становится своевременное выявление скрытого закрепления злоумышленника. Организациям из целевых отраслей важно усилить мониторинг и контроль доступа, не дожидаясь инцидента.

Источник: The Hacker News