Microsoft แกะมัลแวร์ NeedyMantis — เครื่องมือฝังตัวระยะยาวหลังเจาะระบบ ใช้ DLL sideloading โยงกลุ่มจีนและซัพพลายเชน DAEMON Tools

สรุปสั้น

บริษัท Microsoft เผยแพร่การวิเคราะห์เชิงเทคนิคของมัลแวร์ตระกูล NeedyMantis ที่ผู้โจมตีใช้เพื่อคงการเข้าถึงเครือข่ายที่ตนเจาะเข้าไปได้แล้วเป็นระยะเวลานาน โดยพบการใช้งานในการบุกรุกแบบเจาะจงเป้าหมายจำนวนไม่มาก ที่องค์กรโทรคมนาคม มหาวิทยาลัย องค์กรไม่แสวงหากำไรด้านการแพทย์ องค์กรระหว่างรัฐบาล และผู้รับเหมาภาครัฐ การใช้งานย้อนกลับไปอย่างน้อยเดือนตุลาคม 2025 บริษัท Microsoft พบ NeedyMantis ขณะติดตาม indicator จากการสอบสวนของบริษัท Kaspersky เกี่ยวกับการโจมตีซัพพลายเชนของ DAEMON Tools ที่ตัวติดตั้งอย่างเป็นทางการและมีลายเซ็นของโปรแกรม DAEMON Tools Lite แฝงโค้ดมุ่งร้ายตั้งแต่วันที่ 8 เมษายน 2026 ก่อนผู้พัฒนาจะเปลี่ยนเป็นเวอร์ชันสะอาดในวันที่ 5 พฤษภาคม

บริษัท Microsoft ติดตามกิจกรรมที่ผูกกับการโจมตีนั้นในชื่อ Storm-3069 และระบุว่าเป็นหนึ่งในกลุ่มที่ใช้ NeedyMantis แม้จะยังไม่เคยเห็นตัวมัลแวร์แพร่ผ่านการโจมตีซัพพลายเชนโดยตรง ทั้งนี้บริษัท Microsoft ประเมินว่ากิจกรรมของ Storm-3069 น่าจะมีต้นทางในจีน แต่ยังไม่ได้เชื่อมโยงกลุ่มนี้กับผู้ก่อภัยระดับรัฐชาติของจีน โดยรูปแบบทั้งหมดที่พบสอดคล้องกับกลุ่มที่บริษัท Microsoft จัดว่าเชื่อมโยงกับจีน เช่น เป้าหมายที่สอดรับกับผลประโยชน์ของจีนและการเลือกโจมตีเฉพาะบางองค์กรเท่านั้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กันยายน 2569 โดยอ้างการวิเคราะห์ของบริษัท Microsoft ว่าผู้โจมตีได้ใช้มัลแวร์ตระกูล NeedyMantis เพื่อคงการเข้าถึงเครือข่ายที่เจาะได้แล้วในระยะยาว บริษัท Microsoft พบมัลแวร์ตัวนี้ระหว่างตามรอย indicator จากการสอบสวนของบริษัท Kaspersky ในกรณีการโจมตีซัพพลายเชนของ DAEMON Tools ซึ่งตัวติดตั้ง DAEMON Tools Lite ที่มีลายเซ็นถูกต้องกลับแฝงโค้ดมุ่งร้ายอยู่ช่วงหนึ่ง

ในกรณีที่บริษัท Microsoft ตรวจสอบ NeedyMantis มาถึงในรูปชุดสามส่วน ได้แก่ สำเนาโปรแกรมที่ถูกกฎหมาย, DLL มุ่งร้ายที่ตั้งชื่อให้ตรงกับไฟล์ที่โปรแกรมนั้นโหลด และไฟล์ archive ที่เข้ารหัสซึ่งใช้ชื่อเดียวกับ DLL เมื่อโปรแกรมเริ่มทำงานก็จะโหลด DLL มุ่งร้ายเข้ามา ซึ่งเป็นเทคนิคที่เรียกว่า DLL sideloading โปรแกรมถูกกฎหมายที่ถูกนำมาใช้ในลักษณะนี้รวมถึงเครื่องมือแปลภาษา Poedit, curl, โปรแกรมแก้ไขข้อความ Vim และเครื่องมือ remote access อย่าง TightVNC อีกทั้งมัลแวร์ยังเคยปลอมเป็นไฟล์ DLL ของ Microsoft Office, Broadcom, Intel และ NVIDIA ในตัวอย่างที่วิเคราะห์อย่างละเอียด ไฟล์มุ่งร้ายเข้าไปแทนที่ WinSparkle.dll ซึ่งเป็นคอมโพเนนต์อัปเดตที่ Poedit ใช้

บริษัท Microsoft ยังชี้ว่ากลุ่มที่ Google Threat Intelligence Group ติดตามเบื้องหลังปฏิบัติการ DAEMON Tools ในชื่อ UNC6863 ซึ่งบริษัท Mandiant อธิบายเมื่อเดือนมิถุนายนว่าเป็น “ผู้ก่อภัยที่คาดว่าเชื่อมโยงจีน” ที่ใช้การเจาะ DAEMON Tools ไปวางมัลแวร์ ทั้งนี้ยังไม่ชัดเจนว่า UNC6863 กับ Storm-3069 เป็นกลุ่มเดียวกันหรือไม่ และบริษัท Microsoft ก็ยังไม่ได้สรุปว่ากิจกรรม NeedyMantis ทั้งหมดมาจากผู้ก่อภัยรายเดียว

วิธีการโจมตี

ในการบุกรุกกรณีหนึ่ง ผู้ปฏิบัติการที่อยู่ในเครือข่ายอยู่แล้วใช้ชุดเครื่องมือ Impacket คัดลอกชุดไฟล์ NeedyMantis จาก network share มารันบนเครื่องเป้าหมาย โดยวิธีเข้าถึงเครือข่ายในครั้งแรกอาจแตกต่างกันไปในแต่ละการบุกรุก เมื่อ DLL มุ่งร้ายถูกโหลด มันจะแตกสเตจถัดไปออกจาก archive ที่เข้ารหัสแล้วรัน จากนั้นสเตจนั้นจะถอดรหัสคอมโพเนนต์หลักของมัลแวร์ ซึ่งจะเชื่อมต่อไปยังเซิร์ฟเวอร์ command-and-control (C2) ผ่าน HTTPS ก่อนสลับไปใช้การเชื่อมต่อแบบ WebSocket

ผ่านช่องทางนั้น ผู้ปฏิบัติการสามารถโหลดและถอดโมดูลเสริม รวมถึงส่งข้อมูลไปยังโมดูลเหล่านั้นได้ แต่บริษัท Microsoft ยังไม่ยืนยันว่าโมดูลดังกล่าวทำอะไร ในเวอร์ชันเก่าที่พบเมื่อเดือนตุลาคม 2025 มีโมดูลคงอยู่ในระบบ (persistence) ที่ใช้ Windows service ขณะที่บริษัท Microsoft ไม่ได้อธิบายว่าเวอร์ชันใหม่ที่วิเคราะห์คงตัวอยู่บนเครื่องอย่างไร นอกจากนี้เมื่อบริษัท Kaspersky เปิดเผยการโจมตี DAEMON Tools ในเดือนพฤษภาคม ยังพบข้อความภาษาจีนในตัวมัลแวร์แต่ไม่ได้ระบุกลุ่มที่รับผิดชอบ

ผลกระทบ

NeedyMantis เป็นเครื่องมือขั้น post-compromise ที่ออกแบบมาเพื่อฝังตัวและคงการควบคุมระยะยาว มากกว่าจะเป็นจุดเจาะระบบครั้งแรก จุดที่ทำให้ตรวจจับยากคือการอาศัย DLL sideloading ผ่านโปรแกรมที่ถูกกฎหมายและมีลายเซ็นถูกต้อง ทำให้กิจกรรมมุ่งร้ายปะปนกับซอฟต์แวร์ปกติ อีกทั้งการปลอมเป็นไฟล์ DLL ของผู้ผลิตชื่อดังหลายรายยิ่งทำให้กลมกลืน กลุ่มเป้าหมายที่เป็นโทรคมนาคม มหาวิทยาลัย องค์กรระหว่างรัฐบาลและผู้รับเหมาภาครัฐ สะท้อนลักษณะการโจมตีเชิงจารกรรมที่เลือกเป้าอย่างเจาะจง ประกอบกับการที่มัลแวร์เคยปรากฏผ่านการเจาะซัพพลายเชนของซอฟต์แวร์ยอดนิยม แสดงว่าห่วงโซ่อุปทานของเครื่องมือที่องค์กรไว้ใจยังเป็นเส้นทางเข้าที่ต้องเฝ้าระวัง

คำแนะนำ

ผู้ดูแลควรนำ file hash, โดเมน C2, เส้นทางไฟล์ และ hunting query ที่บริษัท Microsoft เผยแพร่ไปใช้ค้นหาในเครือข่าย โดยควรปรับช่วงเวลาย้อนหลังของ query ให้ครอบคลุมตั้งแต่เดือนตุลาคม 2025 และพฤษภาคม 2026 เพราะ query มาตรฐานมองย้อนเพียง 7 วัน จึงอาจพลาดเหตุการณ์ในช่วงเหล่านั้น พึงระวังว่าการพบ WinSparkle.dll ในเส้นทางของ Poedit เพียงอย่างเดียวยังไม่ใช่หลักฐานการติดเชื้อ เพราะไฟล์นี้เป็นส่วนปกติของ Poedit ให้เทียบค่า hash ก่อนเสมอ บริษัท Microsoft แนะนำให้เปิด cloud-delivered protection, block at first sight, EDR ในโหมด block, network protection, automatic attack disruption และกฎ attack surface reduction ที่เกี่ยวข้อง พร้อมตรวจ traffic ขาออกไปยังโดเมน C2 สำหรับผู้ที่เคยดาวน์โหลด DAEMON Tools Lite 12.5.1 ฟรีในช่วงที่ได้รับผลกระทบ ผู้พัฒนาแนะนำให้ถอนการติดตั้ง สแกนระบบเต็มรูปแบบ และดาวน์โหลดเวอร์ชัน 12.6 จากเว็บไซต์ทางการ

Indicators of Compromise (IoCs)

หมายเหตุ: indicator ด้านล่าง defang ไว้แล้ว (เช่น corp.tripswithengine[.]com) เพื่อความปลอดภัย

แหล่งอ้างอิง

• NeedyMantis: Unpacking a post-compromise malware family used in targeted operations — Microsoft
• Hackers Use NeedyMantis to Maintain Long-Term Access in Breached Networks — The Hacker News
• Mitigation guidance for supply chain compromise — Mandiant / Google Threat Intelligence