- Microsoft detalizēti NeedyMantis, ļaunprogrammatūru saime, ko izmanto ilgtermiņa piekļuvei ar DLL sānielādi un WebSocket komandu un vadības iespējām.
- Nīderlandes policija arestēja 24 gadus vecu vīrieti, kurš bija saistīts ar ShinyHuntersZiņojumos viņš tiek identificēts kā Pepijns van der Staps, savukārt grupa apgalvoja par FIB darba portāla ielaušanos.
- ShinyHunters tika izmantots Oracle PeopleSoft CVE-2026-35273 un, kā ziņots, apieja WAF noteikumus, ietekmējot izglītību, tehnoloģijas, veselības aprūpi, lauksaimniecību, transportu un valdību.
- Proofpoint saka TA419, ar Ķīnu saistīta grupa, uzdevās par mākslīgā intelekta politikas ekspertiem, lai nozagtu domnīcu un darbuzņēmēju akreditācijas datus.
Jaunākās norises hakeru pasaulē ir attīstījušās vienlaikus divās sliedēs: ar valstīm saistītas spiegošanas komandas, kas meklē ilgtermiņa piekļuvi, un noziedzīgas izspiešanas grupas, kas uzvedas agresīvāk nekā parasti. Microsoft ir publicējis tehnisku informāciju par ļaunprogrammatūru saimi NeedyMantis , kas ir izmantota ierobežotā skaitā ielaušanās gadījumu pret telekomunikācijām, universitātēm, medicīnas bezpeļņas organizācijām, starpvaldību iestādēm un valdības darbuzņēmējiem. Šķiet, ka šis rīks ir paredzēts, lai noturētu iebrucējus tīklos pēc pirmās ielaušanās, nevis lai plaši izplatītos.
Vienlaikus Nīderlandes varas iestādes ir aizturējušas 24 gadus vecu vīrieti saistībā ar ShinyHunters — bandu, kas saistīta ar lielām datu zādzībām un izpirkuma maksas draudiem. Arestēšana nav mazinājusi grupas publisko bravūru: dažu dienu laikā tā uzņēmās atbildību par ielaušanos FBI darba portālā un bija saistīta ar PeopleSoft ievainojamības izmantošanu. Atsevišķi pētnieki apgalvo, ka ar Ķīnu saistīta komanda ar nosaukumu TA419 ir uzdojusies par mākslīgā intelekta politikas ekspertiem, lai nozagtu domnīcu, darbuzņēmēju un universitāšu akreditācijas datus.
Microsoft saista NeedyMantis ar ilgtermiņa ielaušanos
Microsoft analīze liecina, ka NeedyMantis ir novērots vismaz kopš 2025. gada oktobra un parādījies nelielā skaitā mērķtiecīgu operāciju. Cietušo vidū ir telekomunikāciju organizācijas, universitātes, medicīnas bezpeļņas organizācijas, starpvaldību organizācijas un valdības darbuzņēmēji. Ļaunprogrammatūra ir paredzēta noturībai un kontrolei, nevis masveida darbības traucējumiem.
Pēdas, kas veda uz NeedyMantis, daļēji radās no Kaspersky izmeklēšanas par piegādes ķēdes uzbrukumu DAEMON Tools. Oficiāli parakstītie DAEMON Tools Lite instalētāji nesa ļaunprātīgu kodu no 2026. gada 8. aprīļa, un izstrādātājs 5. maijā atjaunoja tīru versiju. Microsoft izseko saistīto darbību kā Storm-3069, taču nav redzējis pašu NeedyMantis nonākam caur šo piegādes ķēdi.
Ļaunprogrammatūras komplektam parasti ir trīs daļas: likumīga programma, ļaunprātīgs DLL fails, kas nosaukts pēc faila, ko programma ielādē, un šifrēts arhīvs ar tādu pašu nosaukumu. Kad lietotne tiek palaista, tā ielādē negodīgo DLL failu — tehniku, kas pazīstama kā DLL sānu ielāde.
Šādā veidā ļaunprātīgi izmantotas tādas likumīgas programmas kā Poedit, curl, Vim un TightVNC . Ļaunprogrammatūra ir arī maskējusies kā DLL faili, kas saistīti ar Microsoft Office, Broadcom, Intel un NVIDIA. Vienā paraugā tā aizstāja WinSparkle.dll, Poedit atjauninājumu komponentu.
Kā lietderīgā slodze slēpj savu datplūsmu
Detalizētajā paraugā operators, kas jau atrodas tīklā, izmantoja Impacket , lai kopētu pakotni no koplietojamās mapes un izpildītu to mērķa datorā. Sākotnējā piekļuve dažādos gadījumos var atšķirties.
Kad DLL ir ielādēts, tas no šifrētā arhīva izvelk nākamo posmu un palaiž to. Šis posms dekodē galveno komponentu, kas sazinās ar komandu un vadības serveri, izmantojot HTTPS, un pēc tam pārslēdzas uz WebSocket savienojumu.
Izmantojot šo kanālu, operatori var ielādēt un izlādēt papildu moduļus un nosūtīt tiem datus. Microsoft nav apstiprinājis, ko šie moduļi dara. Vecākā versijā, kas iznāca 2025. gada oktobrī, bija iekļauts saglabāšanas modulis, kas izmantoja Windows pakalpojumus ; jaunākās versijas saglabāšanas metode netika detalizēti aprakstīta.
Atribūcija Ķīnai joprojām ir piesardzīga
Storm-3069 ir pagaidu apzīmējums, ko Microsoft piešķir jauniem vai izstrādes stadijā esošiem klasteriem, līdz tas ir pārliecinātāks par to, kas aiz tiem stāv. Uzņēmums ir redzējis NeedyMantis ārpus DAEMON Tools kampaņas un apgalvo, ka to varētu izmantot vairāk nekā viena grupa . Tas vēl nav noskaidrojis, vai visa darbība nāk no viena dalībnieka.
Microsoft lēš, ka darbības izcelsme, šķiet, ir Ķīnā, taču nav saistījis Storm-3069 ar kādu Ķīnas nacionālās valsts dalībnieku. Mērķi un atlasītie upuri nosaka atbilstošus modeļus, ko uzņēmums saista ar Ķīnu. Kaspersky DAEMON Tools ļaunprogrammatūrā atrada ķīniešu valodas tekstu, taču to nepiedēvēja.
Google Threat Intelligence Group izseko DAEMON Tools kampaņas dalībnieku kā UNC6863 . Mandiant ir aprakstījis UNC6863 kā iespējamu ar Ķīnu saistītu dalībnieku, kas izmantoja DAEMON Tools kompromitāciju, lai izplatītu ļaunprogrammatūru. Joprojām nav skaidrs, vai UNC6863 un Storm-3069 ir viens un tas pats.
Indikatori, noteikšana un attīrīšana
Microsoft publicētajos indikatoros ietilpst trīs SHA-256 heši, kas saistīti ar pirmās pakāpes ielādētāju un šifrētiem arhīviem, kā arī C2 domēns corp.tripswithenginecom 443. portā un cietkodēts lietotāja aģents firefox/21.0.
- e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e — pirmās pakāpes ielādētājs WinSparkle.dll, pirmo reizi redzēts 2026. gada 21. maijā.
- 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef — šifrēts arhīvs ar nosaukumu WinSparkle, pirmo reizi redzēts 2026. gada 23. maijā.
- c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 – šifrēts arhīvs ar nosaukumu libcurl, vecāka versija, pirmo reizi redzēts 2025. gada 3. oktobrī.
Ļaunprātīgajās DLL failu ceļi ietver Poedit, libcurl, Vim, TightVNC, Office, Broadcom, Intel un NVIDIA saistītus komponentus kopīgās programmu un programmu datu mapēs.
Defender nosaka ļaunprogrammatūru kā TrojanDropper:Win64/NeedyMantis un Behavior:Win64/NeedyMantis. Meklēšanas vaicājumi meklē tikai septiņas dienas atpakaļ, tāpēc tie neatrastu vecākus notikumus no 2025. gada oktobra vai 2026. gada maija, ja vien tie netiktu pielāgoti. Vienīgi Poedit ceļa atrašana nav pierādījums, jo WinSparkle.dll ir arī parasta Poedit sastāvdaļa.
Microsoft iesaka mākoņpakalpojumos nodrošinātu aizsardzību, bloķēšanu no pirmā acu uzmetiena, EDR bloķēšanas režīmā, tīkla aizsardzību, automātisku uzbrukuma pārtraukšanu un noteiktus uzbrukuma virsmas samazināšanas noteikumus. Tas arī iesaka pārbaudīt izejošo trafiku, lai atrastu savienojumus ar C2 domēnu, ko var izdarīt bez Defender. Ikvienam, kurš ir instalējis skarto DAEMON Tools Lite 12.5.1, tas ir jāatinstalē, jāveic pilna skenēšana un jāiegūst 12.6 versija no oficiālās vietnes.
Arests Nīderlandē rada spiedienu uz ShinyHunters
Nīderlandes varas iestādes ir apstiprinājušas 24 gadus veca vīrieša arestu izmeklēšanas ietvaros pret ShinyHunters, grupu, kas tiek apsūdzēta datu zādzībā un izspiešanā vairāk nekā 140 organizācijās visā pasaulē. Policija paziņoja, ka vīrietis tika arestēts 15. septembrī un viņam tika piespriests apcietinājums vismaz 90 dienas.
Vairākos ziņojumos aizdomās turētais ir identificēts kā Pepijns van der Staps , notiesāts kibernoziedznieks, kurš savulaik izmantoja lietotājvārdu Umbreon. Viņam 2023. gadā tika piespriests četru gadu cietumsods, no kuriem viens tika nosacīti izpildīts, par datu zādzībām un izspiešanu, kas, pēc prokuroru teiktā, nodeva no 1.5 līdz 2.7 miljoniem eiro. Viņš tika atbrīvots no cietuma 2025. gada decembrī.
Pirms aresta van der Staps sevi dēvēja par atlabušu un, saskaņā ar intervijām un plašsaziņas līdzekļu ziņojumiem, strādāja augsta ranga drošības amatā uzņēmumā Neo Security . Viņš arī brīvprātīgi strādāja Nīderlandes Ievainojamību atklāšanas institūtā, kas vēlāk atklāja iekšēju kiberdrošības incidentu, kas saistīts ar ļaunprātīgu mākslīgā intelekta izmantošanu, un paziņoja, ka tas, šķiet, nav saistīts ar ShinyHunters. Neo Security uz komentāru pieprasījumiem neatbildēja.
Nīderlandes policija ir lūgusi sabiedrības palīdzību, lai identificētu balsi 2026. gada februāra zvanā, kurā, izmantojot sociālo inženieriju, Odido darbinieks tika pierunāts pieteikties viltotā vietnē, kā rezultātā tika nozagti dati no vairāk nekā 6.2 miljoniem Nīderlandes iedzīvotāju . ShinyHunters apstiprināja, ka zvanītājs bija biedrs, lai gan arestētais vīrietis oficiāli nav saistīts ar Odido lietu.
Izmeklētāji , pamatojoties uz informāciju, kas tika atrasta pēc van der Stapa aresta, arī tur aizdomās, ka viņš mēģinājis organizēt vismaz divas slepkavības ārzemēs . Nīderlandes varas iestādes šo izmeklēšanas virzienu raksturoja kā atsevišķu no ShinyHunters izmeklēšanas.
FBI darba portāla pārkāpums un PeopleSoft izmantošana
Dažas dienas pēc aresta ShinyHunters uzņēmās atbildību par ielaušanos FBI darba pieteikumu vietnē apply.fbijobs.gov . Ziņojumos teikts, ka nozagtie dati ietvēra sociālās apdrošināšanas numurus un personas datus par vairāk nekā 5,000 amatpersonām, kā arī amatu nosaukumus vai komandas, piemēram, īpašo aģentu, draudu uzņemšanas izmeklētāju, galveno kibernoziegumu apkarošanas vienību un darbiniekus, kas izmeklē ārvalstu atbalstītus kiberdraudus.
Reuters pārbaudīja grupas kopīgotos dokumentus un atrada sensitīvus psihiatriskos un medicīniskos failus, kuros iesaistīti FBI darbinieki. Noplūde ir radījusi bažas par pretizlūkošanu datu rakstura dēļ. Birojs nav sniedzis detalizētu publisku incidenta aprakstu.
ShinyHunters paziņoja, ka piekļuvi ieguva, izmantojot nesen izlabotu trūkumu CVE-2026-35273 Oracle PeopleSoft, plaši izmantotā HR un pieņemšanas darbā platformā. Oracle izdeva labojumu pēc tam, kad, kā ziņots, trūkums jūnijā tika izmantots kā nulles dienas kļūda.
Mandiant publicēja tīmekļa lietojumprogrammu ugunsmūra noteikumus organizācijām, kuras nevarēja ātri ieviest ielāpus, taču BleepingComputer ziņoja, ka ShinyHunters izmantoja URL kodēšanas triku , lai tos apietu. Mandiant un Google Threat Intelligence Group 25. septembra ziņojumā tika apstiprināta PeopleSoft ievainojamības masveida izmantošana augstākajā izglītībā, tehnoloģiju, veselības aprūpes, lauksaimniecības, transporta un valdības jomā.
ShinyHunters pastāstīja TechCrunch, ka FBI pārkāpums nebija finansiāli motivēts un bija paredzēts, lai apstrīdētu apsūdzības pret grupu. Tika paziņots, ka nozagtie FBI dati netiks publicēti. FBI kibernodaļas vadītājs Brets Ledermans pateicās Nīderlandes partneriem un mudināja atlikušos dalībniekus pašiem pieteikties.
Vadības cīņa ShinyHunters iekšienē
Avoti, kas ir tuvu izmeklēšanai, apgalvo, ka grupas nesenie riskantie soļi pret FBI un krievu izspiedējvīrusu komandu Cl0p signalizē par maiņu no tās vecākā, pārdomātākā stila. Ziņots, ka šīs pārmaiņas sekoja tam, kad uzņēmumu pārņēma pusaudzis kibernoziedznieks no Ammānas, Jordānijā, pazīstams kā Rejs , kurš darbojas koalīcijas ScatteredLapsussHunters ietvaros.
Šī koalīcija tiek raksturota kā Scattered Spider, LAPSUS$ un ShinyHunters apvienojums. Rejam esot bijis strīds ar holandiešu hakeru par ShinyHunters zīmola un datu kontroli . Pārāk lielais Umbreon attēls, kas atstāts FIB deformācijas lapā, tika uztverts kā mēģinājums piedēvēt uzlaušanas vainu holandietim.
Rejs vietnē Twitter/X izsmēja Cl0p un FBI ar mēmu; viņa konts vēlāk tika dzēsts pēc tam, kad reportieris pieprasīja interviju. Wired ziņojumā teikts, ka ShinyHunters un SLSH īslaicīgi sadarbojās ar TeamPCP , lai monetizētu nozagtas akreditācijas datus, pēc tam ShinyHunters rīkojās negodīgi un paturēja ieņēmumus. Mandiant bija iefiltrējies TeamPCP un nodevis akreditācijas datus mākoņpakalpojumu sniedzējiem, kas anulēja atslēgas.
Mandiant pētnieks Ostins Larsens sacīja, ka ShinyHunters ir bijis izspiešanas epicentrā un 2026. gadā no upuriem varētu iegūt gandrīz 100 miljonus dolāru. Van der Staps apgalvoja, ka viņa iepriekšējos noziegumus vadīja vēlme apkopot datubāzes, nevis naudu.
Ar Ķīnu saistītais TA419 uzdodas par mākslīgā intelekta politikas ekspertiem
“Proofpoint” apgalvo, ka ar Ķīnu saistīta grupa ar nosaukumu TA419 ASV ir uzdojusies par mākslīgā intelekta ekspertiem, tostarp par Linnu Edvardsu Pārkeri, bijušo Baltā nama Zinātnes un tehnoloģiju politikas biroja galveno direktora vietnieci. Kampaņa notiek kopš 2025. gada aprīļa.
Sākumā e-pasti izskatījās nekaitīgi un bieži aicināja adresātus pievienoties “Mākslīgā intelekta politikas padomdevējai komitejai”. Kad mērķis atbildēja, uzbrucēji nosūtīja viltotu pieteikšanās lapu, kas paredzēta akreditācijas datu zagšanai. Upuru vidū bija politikas eksperti domnīcās, aizsardzības darbuzņēmējos, universitātēs un juridiskajos birojos ASV un Japānā.
Šī metode izveido viltus pārlūkprogrammas uznirstošo logu likumīgā tīmekļa lapā, atdarinot īstu pierakstīšanās uzvedni, lai upuri mazāk saprastu, ka viņi nodod informāciju. Proofpoint nenosauca visus mērķus, taču Reuters apstiprināja, ka Alekss Englers, bijušais Baltā nama ierēdnis, kurš tagad vada Pensilvānijas Mediju, tehnoloģiju un demokrātijas centru, saņēma vienu no ziņojumiem un atklāja, ka tas ir no personifikācijas personas.
Februārī tā pati grupa uzdevās par ievērojamu Anthropic darbinieku , vēršoties pret mākslīgā intelekta politikas ekspertiem. Proofpoint sagaida, ka TA419 turpinās izmantot reālu ekspertu identitātes pret domnīcām un politikas speciālistiem. Pārkers neatbildēja uz Al Jazeera lūgumu sniegt komentārus.
Kas cilvēkiem un aizstāvjiem būtu jāuzmana
Drošības komandām NeedyMantis indikatori un PeopleSoft izmantotās ievainojamības parāda, kā uzbrucēji sajauc uzticamu programmatūru, nozagtas akreditācijas datus un zināmas ievainojamības. Izejošās datplūsmas pārbaude , neparastu DLL ielāžu pārskatīšana un neaizsargātu HR vai darbā pieņemšanas platformu labošana var samazināt šo logu.
Parastajiem lietotājiem TA419 kampaņa ir atgādinājums, ka noslīpēti e-pasti un reālistiski pieteikšanās uzvednes joprojām var būt pikšķerēšanas avoti. Noder negaidītu ielūgumu pārbaude, izmantojot otru kanālu, un pikšķerēšanai izturīgas daudzfaktoru autentifikācijas izmantošana.
Visos šajos gadījumos kopīgā iezīme ir piekļuve: ar valsti saistītas grupas vēlas slēpties tīklos, savukārt noziedzīgas bandas vēlas nozagtus datus pārvērst maksājumos un publiskajā ietekmē. NeedyMantis analīze parāda, kā DLL sānu ielāde un WebSocket C2 var pārvērst likumīgus rīkus par atbalsta punktu; ShinyHunters arests un FBI pārkāpums parāda, cik ātri hakeru zīmols var saasināties pēc iekšējiem nemieriem; un TA419 mākslīgā intelekta tematikas pikšķerēšana parāda, ka sociālā inženierija joprojām vislabāk darbojas, ja tā aizņemas uzticamu vārdu. Neviens no šiem stāstiem nav izolēts , un aizsardzības mācības pārklājas: ātri jāatklāj ielāpi, jāuzrauga neparasta datplūsma un failu ielāde, un jāizturas pret nevēlamiem pieteikšanās pieprasījumiem ar aizdomām.
