Daemon Tools Hackers’ NeedyMantis Malware Dissected by Microsoft

Mi­cro­soft ha lle­va­do a cabo un aná­li­sis de una in­fra­es­truc­tu­ra de soft­wa­re ma­li­cio­so em­plea­da por un grupo de ata­can­tes ori­gi­na­rios de China, cuyos ob­je­ti­vos in­clu­ye­ron agen­cias gu­ber­na­men­ta­les y em­pre­sas de te­le­co­mu­ni­ca­cio­nes. Este con­jun­to de he­rra­mien­tas, de­no­mi­na­do Needy­Man­tis, fue iden­ti­fi­ca­do tras re­vi­sar los in­di­ca­do­res de com­pro­mi­so de­ri­va­dos de un ata­que a la ca­de­na de su­mi­nis­tro de Dae­mon Tools.

El pro­gra­ma ma­li­cio­so se ins­ta­la de ma­ne­ra pos­te­rior a una in­tru­sión ini­cial, con el pro­pó­si­to de ase­gu­rar la per­sis­ten­cia a largo plazo den­tro de la red com­pro­me­ti­da y fa­ci­li­tar ac­cio­nes pos­te­rio­res. Su es­truc­tu­ra com­pren­de un di­se­ño mo­du­lar que in­clu­ye di­ver­sos car­ga­do­res, ar­chi­vos com­pri­mi­dos ci­fra­dos de forma per­so­na­li­za­da y com­po­nen­tes de­sa­rro­lla­dos en C++ y có­di­go shell, orien­ta­dos a eva­dir los me­ca­nis­mos de de­tec­ción.

La ca­de­na de in­fec­ción in­vo­lu­cra el uso de car­ga­do­res en múl­ti­ples eta­pas y ar­chi­vos que se agru­pan con apli­ca­cio­nes le­gí­ti­mas, uti­li­zan­do téc­ni­cas como el se­cues­tro de DLL para ini­ciar la eje­cu­ción. Una vez ac­ti­va­do, el ele­men­to prin­ci­pal ges­tio­na las co­ne­xio­nes con un ser­vi­dor de co­man­do y con­trol me­dian­te Web­Soc­kets, trans­mi­te datos del equi­po y del usua­rio, y per­mi­te la ges­tión di­ná­mi­ca de mó­du­los adi­cio­na­les cuyas fun­cio­nes es­pe­cí­fi­cas no han po­di­do ser con­fir­ma­das.