'NeedyMantis' Provides Long-Term Access to Compromised Networks

Mi­cro­soft iden­ti­fi­có un marco de pro­gra­mas ma­li­cio­sos hasta ahora des­co­no­ci­do, de­no­mi­na­do Needy­Man­tis, em­plea­do por un grupo de ata­can­tes con base en China iden­ti­fi­ca­do como Storm-3069. Este soft­wa­re se uti­li­za tras una in­tru­sión ini­cial para otor­gar a los ata­can­tes ac­ce­so si­gi­lo­so a largo plazo en redes se­lec­cio­na­das de di­ver­sos sec­to­res, como em­pre­sas de te­le­co­mu­ni­ca­cio­nes, ins­ti­tu­cio­nes edu­ca­ti­vas, or­ga­ni­za­cio­nes mé­di­cas sin fines de lucro, en­ti­da­des in­ter­gu­ber­na­men­ta­les y con­tra­tis­tas gu­ber­na­men­ta­les.

Needy­Man­tis opera como una puer­ta tra­se­ra mo­du­lar que se co­mu­ni­ca me­dian­te pro­to­co­los se­gu­ros y Web­Soc­ket para re­co­pi­lar in­for­ma­ción de los sis­te­mas afec­ta­dos y des­car­gar com­po­nen­tes adi­cio­na­les. Para ocul­tar sus ac­cio­nes y di­fi­cul­tar el aná­li­sis es­tá­ti­co, la he­rra­mien­ta em­plea un car­ga­dor de dos eta­pas y téc­ni­cas como la carga la­te­ral de bi­blio­te­cas de en­la­ce di­ná­mi­co (DLL), ca­mu­flan­do ar­chi­vos ma­li­cio­sos bajo la apa­rien­cia de soft­wa­re le­gí­ti­mo y uti­li­zan­do car­pe­tas ci­fra­das y com­pri­mi­das con cla­ves va­ria­bles.

Aun­que se co­no­cen va­rias de sus ca­rac­te­rís­ti­cas, el al­can­ce total de las ca­pa­ci­da­des de este marco sigue sin de­ter­mi­nar­se por com­ple­to de­bi­do a su di­se­ño mo­du­lar, lo que su­gie­re una po­si­ble mo­ti­va­ción de ci­ber­es­pio­na­je orien­ta­da a la ob­ten­ción de in­te­li­gen­cia. Ante la di­fi­cul­tad de de­tec­tar úni­ca­men­te los ar­te­fac­tos del pro­gra­ma, los ex­per­tos su­gie­ren cen­trar­se en el com­por­ta­mien­to de los ata­can­tes, va­li­dar la ex­po­si­ción ad­ver­sa­rial y con­fi­gu­rar sis­te­mas de de­tec­ción y res­pues­ta en ter­mi­na­les para ope­rar en modo de blo­queo.