NeedyMantis：高度化する侵入後フレームワーク｜ブログ(ほぼこもセキュリティニュース)

NeedyMantis は、主に中国に活動拠点を持つ脅威アクター（Microsoftにより Storm-3069 として追跡）が運用する高度なポストコンプロマイズ（侵入後展開型）マルウェアフレームワークです。

完全にゼロから開発されたものではなく、攻撃者が過去に使用していた各種ツール群やバックドアの知見を統合・再構築し、2026年に向けて機能を大幅に刷新・高度化させた最新の脅威です。
電気通信、医療、政府機関、教育機関など、機密性の高い重要インフラや組織を対象に、初期侵入後の偵察・特権昇格・長期的なアクセス維持（Persistence）・内部側方移動（Lateral Movement）のフェーズで展開されています。
特徴的な部分をみてみましょう。

既存ツール群を統合したモジュール化アーキテクチャ
過去の単体ツールとは異なり、攻撃の各段階に応じて機能を動的追加できるプラグイン（モジュール）構造へ刷新されました。
主要モジュールには次のようなものがあります。
- システム情報およびネットワーク構成の自動収集（初期偵察）
- キーロギングや認証情報の窃取
- リモートシェル機能およびC2（Command and Control）通信の管理
- ポートフォワーディングやプロキシ構築によるネットワーク内部への深層侵入
洗練された DLL サイドローディング（DLL Sideloading）による検知回避
最新のエンドポイント検知（EDR/AV）製品を欺くため、デジタル署名付きの正規ソフトウェアを悪用する仕組みが強化されています。
- 仕組み:
  端末上に存在する（あるいは攻撃者が持ち込んだ）Poedit、TightVNC、DAEMON Tools などの正規バイナリと同じディレクトリに悪意ある DLL を配置し、正規プロセス起動時に悪意あるコードを優先して呼び出させます。
- 効果:
  信頼された正規プロセスの文脈で動作するため、プロセス監視による異常検知を巧みに回避します。
通信暗号化と難読化のアップデート
- メモリ内実行（In-Memory Execution）:
  悪意あるペイロードをディスク上に残さずメモリ上で展開・実行し、フォレンジック解析を困難にします。
- C2 トラフィックの偽装:
  HTTPS/TLS 通信への隠蔽に加え、通信間隔にランダムな遅延（Jitter）を付与することで、ネットワークの異常トラフィック分析からの検知を防ぎます。
サプライチェーン侵害や既知脆弱性との組み合わせ
過去の攻撃パターンをさらに進化させ、サードパーティ製ソフトウェアの脆弱性やサプライチェーン侵入によって最初のアクセス権を獲得・維持し、そこから効率的に本マルウェアをネットワーク内へ水平展開します。

NeedyMantis は、単一の新しいマルウェアというよりも、「過去の攻撃ツールを最新の検知回避技術とともに統合・再構築した持続的侵入フレームワーク」と言えます。
2026年に入り実環境での観測と大規模な展開が報告されており、正規プロセス（DLL）の悪用やメモリ内処理が徹底されているため、ファイルベースの従来型対策のみでの発見は極めて困難です。
防御側には以下の対策が求められます。

プロセス監視・EDRポリシーの厳格化:
正規バイナリが通常と異なるパスや不審な親プロセスから起動されていないかの監視、不審なDLLロード（未署名DLLの読み込み等）の検知・ブロック。
認証情報と特権の管理（最小権限の徹底）:
侵入後の横移動や特権昇格を防ぐためのアクセス制御。
サードパーティおよびサプライチェーンの脆弱性管理:
侵入の起点となるソフトウェアのパッチ適用と監視。

NeedyMantis: Unpacking a post-compromise malware family used in targeted operations
https://www.microsoft.com/en-us/security/blog/2026/09/28/needymantis-unpacking-a-post-compromise-malware-family-used-in-targeted-operations/