侵入後の長期アクセスを維持するマルウェア「NeedyMantis」の手口とは——Microsoftが技術分析を公開

要点

• Microsoftは、侵入済みのネットワーク内で長期的なアクセスを維持するために用いられるマルウェアファミリー「NeedyMantis」の技術分析を公開した。

• 通信事業者、大学、医療系非営利団体、政府間組織、政府系請負業者など、厳選された少数の組織を狙った標的型攻撃で確認されている。

• PoeditやVim、curlなどの正規プログラムに悪意あるDLLを読み込ませる「DLLサイドローディング」の手口で潜伏し、検知を逃れていた。

• ディスクイメージ作成ソフト「DAEMON Tools」のサプライチェーン攻撃調査を契機に発見され、中国との関連が疑われる攻撃グループなどの関与が指摘されている。

• 米Microsoftは2026年9月28日、すでにネットワークへ侵入を果たした攻撃者が長期間にわたってアクセス権を維持する目的で使用するマルウェア「NeedyMantis（ニーディ・マンティス）」に関する技術分析レポートを公開した。

• 同社の報告によると、NeedyMantisは少なくとも2025年10月から使用が確認されている。通信事業者、大学、医療系非営利団体、政府間組織、政府系請負業者といった組織に対する、ごく少数の標的型侵入において観測されているという。

「DAEMON Tools」の侵害調査を契機に発見

MicrosoftがNeedyMantisを特定したきっかけは、セキュリティ企業Kaspersky（カスペルスキー）が実施した「DAEMON Tools」に対するサプライチェーン攻撃の調査で提示された指標を追跡したことだった。

DAEMON Toolsの事例では、2026年4月8日から5月5日にかけて、ディスクイメージ作成ソフト「DAEMON Tools Lite」の公式かつ正規に署名されたインストーラーに悪意あるコードが混入されていた。開発元は5月5日にクリーンな正規版へ差し替えを行っている。

Microsoftはこの一連の攻撃に関連する活動を「Storm-3069」という識別名で追跡している。同社によれば、Storm-3069はNeedyMantisを使用するグループの1つであるが、NeedyMantis自体がサプライチェーン攻撃を介して拡散された事例は確認されていないという。

正規ソフトを装うDLLサイドローディングの手口

Microsoftが詳細に分析した事例において、NeedyMantisは「正規プログラムのコピー」「正規プログラムが読み込むファイル名に偽装した悪意あるDLL」「そのDLLと同名を持つ暗号化アーカイブ」という3つの要素で構成されたバンドルとして持ち込まれていた。

プログラムが起動する際に悪意あるDLLを誤って読み込む「DLLサイドローディング」という手法が悪用されている。悪用の対象となった正規プログラムには、翻訳編集ツール「Poedit」、データ転送ツール「curl」、テキストエディタ「Vim」、リモートデスクトップツール「TightVNC」などが含まれる。また、Microsoft Office、Broadcom、Intel、NVIDIAの正規DLLファイルに偽装したケースも確認された。

詳細に分析された検体では、Poeditのアップデート用コンポーネントである「WinSparkle.dll」が悪意あるファイルに置き換えられていたという。ある侵入事例では、すでに社内ネットワーク内に潜伏していた攻撃者が、ネットワーク管理ツール群「Impacket」を用いて共有フォルダから標的マシンへバンドルをコピーし、実行した様子が確認されている。なお、攻撃者がネットワークへ最初に侵入する初期アクセスの手法は、事例ごとに異なる可能性があるとみられている。

通信の確立とモジュラー構造

不正なDLLが読み込まれると、同名の暗号化アーカイブから次ステージのコードを展開して実行する。続いてそのステージがマルウェアのメインコンポーネントを復号する仕組みとなっている。

メインコンポーネントは、まずHTTPSプロトコルを用いてC2サーバー（遠隔操作用の指令サーバー）へ接続を行い、その後に双方向通信が可能なWebSocket接続へと切り替える。攻撃者はこの接続を通じて追加のモジュールを読み込み・削除したり、モジュール宛てにデータを送信したりできる状態になる。ただし、これらの追加モジュールが具体的にどのような機能を実行するのかについて、Microsoftは現時点で確認していないとしている。

なお、2025年10月に確認された旧バージョンの検体には、Windowsサービスを利用してシステムへの常駐を維持する永続化モジュールが含まれていた。一方で、今回詳細に分析された新バージョンがどのようにシステムへ常駐し続けるかについて、同社の分析では言及されていない。

中国関連が疑われる攻撃者グループの動向

Microsoftが追跡する「Storm-3069」という名称は、攻撃者の正体や拠点が確定するまでに付与される一時的な追跡用コードネームである。

NeedyMantisはDAEMON Toolsのキャンペーン以外でも観測されており、複数のグループによって利用されている可能性があるという。すべての活動が単一の攻撃主体によるものか、またStorm-3069とNeedyMantisの間にどのような関係があるのかについては未解明のままだ。

Microsoftは、Storm-3069の活動拠点は中国にあると推定しているものの、中国政府の支援を受けた国家主導のアクターであるとまでは特定していない。しかし、標的が中国の国益と合致している点や、選定されたごく一部の組織に対してのみ使われている点など、これまでに確認されたNeedyMantisの活動パターンは中国関連グループの特徴に合致していると分析している。

このサプライチェーン攻撃に関しては他社も追跡を行っている。Kasperskyは2026年5月にDAEMON Toolsへの攻撃を公表した際、マルウェア内部に中国語のテキストを確認したものの特定グループへの帰属は行わなかった。また、Google Threat Intelligence Groupはこの攻撃主体を「UNC6863」として追跡しており、Mandiantは2026年6月に同グループを「中国との関連が疑われる攻撃者」と説明している。なお、UNC6863とStorm-3069が同一のグループであるかは明らかになっていない。

公開された主な侵害指標（IoC）

Microsoftはネットワーク防御者向けに、以下の侵害指標（IoC）を公開している。

• ファイルハッシュ（SHA-256）:
  • e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e（第1段階ローダー「WinSparkle.dll」、初観測: 2026年5月21日）
  • 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef（暗号化アーカイブ「WinSparkle」、初観測: 2026年5月23日）
  • c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77（旧版暗号化アーカイブ「libcurl」、初観測: 2025年10月3日）
• C2通信先ドメイン: corp.tripswithengine[.]com（ポート443）
• ユーザーエージェント: firefox/21.0（通信用DLL内にハードコード）