Microsoft Peringatkan NeedyMantis, Malware Pengincar Jaringan

Microsoft mengungkap keberadaan NeedyMantis, keluarga malware yang digunakan peretas untuk mempertahankan akses jangka panjang ke jaringan organisasi yang telah mereka bobol. Malware ini memanfaatkan teknik DLL sideloading untuk menyamarkan komponen berbahaya melalui program yang sah. Ancaman tersebut terdeteksi dalam serangkaian serangan tertarget terhadap organisasi telekomunikasi, universitas, lembaga medis nirlaba, hingga kontraktor pemerintah.

Temuan ini menambah daftar ancaman siber yang mengandalkan akses tersembunyi untuk mempertahankan kendali atas sistem korban. Berbeda dengan serangan yang hanya berfokus pada pencurian data dalam waktu singkat, penggunaan malware seperti NeedyMantis memungkinkan penyerang tetap terhubung dengan jaringan yang telah ditembus, sehingga mereka berpotensi melanjutkan aktivitas berbahaya setelah memperoleh akses awal.

Dalam analisis teknisnya, Microsoft menyebut penggunaan NeedyMantis telah terdeteksi setidaknya sejak Oktober 2025. Malware tersebut ditemukan dalam sejumlah kecil insiden yang menargetkan organisasi tertentu, termasuk perusahaan telekomunikasi, perguruan tinggi, organisasi antarpemerintah, dan kontraktor pemerintah.

Microsoft menemukan malware ini ketika menindaklanjuti indikator serangan yang diidentifikasi Kaspersky dalam penyelidikan terhadap serangan rantai pasokan (supply chain attack) pada perangkat lunak DAEMON Tools. Meski memiliki keterkaitan dengan penyelidikan tersebut, Microsoft menegaskan bahwa pihaknya belum menemukan bukti NeedyMantis disebarkan melalui installer DAEMON Tools yang telah dimanipulasi.

Aktivitas kelompok yang berkaitan dengan serangan tersebut dilacak Microsoft menggunakan nama Storm-3069. Kelompok ini disebut sebagai salah satu pihak yang menggunakan NeedyMantis, meskipun identitas pelaku dan hubungan mereka dengan seluruh aktivitas malware tersebut belum dapat dipastikan.

NeedyMantis Manfaatkan Program yang Sah

Salah satu aspek yang menjadi perhatian dalam temuan Microsoft adalah cara NeedyMantis menyamarkan keberadaannya dengan memanfaatkan program yang sah. Malware ini menggunakan teknik bernama DLL sideloading, yaitu metode yang membuat sebuah aplikasi memuat berkas pustaka DLL berbahaya seolah-olah berkas tersebut merupakan komponen yang diperlukan untuk menjalankan program.

DLL atau Dynamic Link Library merupakan berkas yang berisi kumpulan fungsi dan kode yang dapat digunakan oleh aplikasi Windows. Komponen ini lazim dipakai oleh berbagai perangkat lunak untuk menjalankan fungsi tertentu tanpa harus menyimpan seluruh kode dalam satu program.

Dalam kasus NeedyMantis, paket malware yang ditemukan Microsoft terdiri dari tiga komponen utama. Komponen tersebut meliputi salinan program yang sah, DLL berbahaya yang namanya menyerupai berkas yang biasa dimuat oleh program itu, serta arsip terenkripsi yang menggunakan nama sama dengan DLL tersebut.

Ketika aplikasi dijalankan, program akan memuat DLL berbahaya yang telah disiapkan penyerang. Komponen tersebut kemudian membuka jalan bagi tahapan malware berikutnya untuk berjalan di sistem korban.

Teknik ini dapat menyulitkan proses identifikasi apabila pemeriksaan keamanan hanya berfokus pada nama aplikasi yang dijalankan. Program yang terlihat normal belum tentu sepenuhnya aman jika salah satu komponen yang dimuatnya telah diganti atau dimanipulasi.

Microsoft menemukan bahwa NeedyMantis memanfaatkan sejumlah perangkat lunak yang umum digunakan. Di antaranya adalah Poedit, aplikasi untuk menerjemahkan perangkat lunak; curl, alat untuk mentransfer data; Vim, editor teks; serta TightVNC, perangkat lunak untuk mengakses komputer dari jarak jauh.

Selain itu, malware tersebut juga ditemukan menyamar sebagai berkas DLL yang berkaitan dengan Microsoft Office, Broadcom, Intel, dan NVIDIA.

Dalam salah satu sampel yang dianalisis secara terperinci, Microsoft menemukan bahwa berkas berbahaya menggantikan WinSparkle.dll, komponen pembaruan yang digunakan oleh Poedit.

Temuan tersebut memperlihatkan bagaimana penyerang dapat menyisipkan komponen berbahaya ke dalam lingkungan perangkat lunak yang terlihat biasa. Karena itu, pemeriksaan keamanan tidak cukup hanya memastikan bahwa suatu aplikasi berasal dari pengembang yang dikenal. Integritas berkas yang digunakan aplikasi juga perlu diperiksa.

Cara NeedyMantis Mempertahankan Akses ke Jaringan Korban

Setelah berhasil masuk ke sistem, NeedyMantis menjalankan beberapa tahapan untuk mengaktifkan komponen utamanya. DLL berbahaya terlebih dahulu mengekstrak tahap malware berikutnya dari arsip terenkripsi. Tahap tersebut kemudian mendekode komponen utama yang digunakan untuk berkomunikasi dengan operator di balik serangan.

Dalam salah satu insiden yang diselidiki, operator yang telah berada di dalam jaringan menggunakan perangkat bernama Impacket untuk menyalin paket malware dari folder berbagi jaringan (network share), kemudian menjalankannya pada komputer sasaran.

Impacket merupakan perangkat yang dapat digunakan untuk berbagai aktivitas administrasi dan interaksi jaringan. Dalam kasus ini, perangkat tersebut disalahgunakan untuk membantu memindahkan dan menjalankan paket malware di lingkungan korban.

Microsoft tidak menyebutkan satu metode khusus yang selalu digunakan penyerang untuk memperoleh akses awal. Cara masuk ke jaringan dapat berbeda antara satu insiden dan insiden lainnya.

Setelah komponen utama aktif, NeedyMantis menghubungkan diri ke server perintah dan kendali atau command-and-control (C2) melalui HTTPS. Koneksi kemudian beralih menggunakan WebSocket, protokol komunikasi yang memungkinkan pertukaran data secara berkelanjutan antara dua pihak.

Melalui koneksi tersebut, operator dapat memuat dan menghentikan modul tambahan, sekaligus mengirimkan data kepada modul-modul tersebut. Namun, Microsoft belum mengonfirmasi fungsi spesifik dari modul tambahan yang digunakan NeedyMantis.

Kemampuan berkomunikasi dengan server C2 menjadi bagian penting dari mekanisme kendali malware. Dengan koneksi tersebut, perangkat yang telah terinfeksi dapat menerima instruksi dari operator, sementara penyerang dapat mengelola komponen malware dari jarak jauh.

Microsoft juga menemukan bahwa versi NeedyMantis yang lebih lama, terdeteksi pada Oktober 2025, memiliki modul persistensi yang memanfaatkan layanan Windows. Persistensi merupakan mekanisme yang memungkinkan malware tetap berada di sistem meskipun komputer mengalami kondisi tertentu, misalnya setelah proses atau layanan dijalankan kembali.

Meski demikian, Microsoft belum menjelaskan secara terperinci bagaimana versi terbaru yang dianalisis mempertahankan keberadaannya pada komputer korban.

Belum lengkapnya informasi mengenai mekanisme persistensi versi terbaru tersebut membuat tim keamanan perlu memperhatikan berbagai indikator, termasuk aktivitas proses, perubahan berkas, dan koneksi jaringan yang tidak biasa.

Storm-3069 Diduga Berkaitan dengan China

Microsoft melacak sebagian aktivitas yang berkaitan dengan NeedyMantis menggunakan nama Storm-3069. Nama ini merupakan penamaan sementara yang digunakan perusahaan untuk kelompok baru atau kelompok yang identitas dan asal-usulnya masih dalam penyelidikan.

Microsoft juga menemukan penggunaan NeedyMantis di luar aktivitas Storm-3069 yang berkaitan dengan kampanye serangan DAEMON Tools. Hal ini membuka kemungkinan bahwa malware tersebut digunakan oleh lebih dari satu kelompok peretas.

Hingga kini, Microsoft belum memastikan apakah seluruh aktivitas NeedyMantis yang ditemukan berasal dari satu pelaku yang sama. Hubungan pasti antara Storm-3069 dan malware tersebut juga belum dijelaskan secara menyeluruh.

Berdasarkan penilaian Microsoft, aktivitas Storm-3069 kemungkinan berasal dari China. Namun, perusahaan belum mengaitkan kelompok tersebut secara langsung dengan aktor negara China.

Microsoft menyebut aktivitas NeedyMantis yang diamati sejauh ini memiliki sejumlah karakteristik yang sesuai dengan pola kelompok peretas yang dikaitkan dengan China. Hal itu mencakup pemilihan target yang dinilai sejalan dengan kepentingan China serta serangan yang dilakukan terhadap sejumlah kecil organisasi secara tertarget.

Dalam pengungkapan serangan DAEMON Tools pada Mei 2026, Kaspersky juga menemukan teks berbahasa China di dalam malware. Akan tetapi, temuan bahasa tersebut tidak membuat Kaspersky mengaitkan malware dengan kelompok peretas tertentu.

Sementara itu, Google Threat Intelligence Group melacak pelaku di balik kampanye DAEMON Tools menggunakan nama UNC6863.

Pada Juni 2026, Mandiant menggambarkan UNC6863 sebagai aktor yang diduga memiliki keterkaitan dengan China dan menggunakan kompromi DAEMON Tools untuk menyebarkan malware.

Meski terdapat sejumlah kesamaan dalam penilaian asal-usul aktivitas tersebut, belum diketahui apakah UNC6863 dan Storm-3069 merupakan kelompok yang sama. Karena itu, dugaan mengenai asal-usul dan identitas pelaku perlu dibedakan dari atribusi yang telah terkonfirmasi.

Microsoft Bagikan Indikator untuk Mendeteksi NeedyMantis

Untuk membantu organisasi mengidentifikasi kemungkinan infeksi, Microsoft menerbitkan sejumlah indikator kompromi (indicators of compromise atau IoC). Indikator tersebut dapat digunakan tim keamanan untuk mencari berkas, aktivitas, dan koneksi jaringan yang berkaitan dengan NeedyMantis.

Salah satu indikator yang dipublikasikan adalah hash SHA-256. Hash merupakan nilai digital yang dapat digunakan untuk membandingkan identitas suatu berkas. Jika hash sebuah berkas cocok dengan indikator malware yang telah diketahui, temuan tersebut dapat membantu penyelidikan lebih lanjut.

Berikut tiga hash yang diidentifikasi Microsoft:

• SHA-256: e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e. Hash ini berkaitan dengan pemuat tahap pertama WinSparkle.dll yang pertama kali ditemukan pada 21 Mei 2026.
• SHA-256: 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef. Hash ini berkaitan dengan arsip terenkripsi bernama WinSparkle yang pertama kali ditemukan pada 23 Mei 2026.
• SHA-256: c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77. Hash ini berkaitan dengan arsip terenkripsi bernama libcurl versi lama yang pertama kali ditemukan pada 3 Oktober 2025.

Microsoft turut mengidentifikasi domain server C2 corp.tripswithengine[.]com, yang menggunakan port 443. Selain itu, malware diketahui menggunakan user agent firefox/21.0 yang ditetapkan secara permanen dalam DLL komunikasinya.

Indikator lainnya berupa sejumlah jalur berkas yang perlu diperiksa pada sistem Windows, antara lain:

• %ProgramFiles%\Poedit\WinSparkle.dll 
• %ProgramData%\USOShared\libcurl.dll 
• %ProgramData%\VIM\vim64.dll 
• %ProgramData%\TightVNC\VIM\vim64.dll 
• %ProgramData%\office\dbghelp.dll 
• %ProgramData%\broadcom\dbghelp.dll 
• %ProgramData%\Intel\jli.dll 
• %ProgramFiles%\modifiable\nvml.dll 
• %ProgramData%\ics\nvml.dll 

Microsoft Defender Antivirus mendeteksi malware ini menggunakan nama TrojanDropper:Win64/NeedyMantis dan Behavior:Win64/NeedyMantis.

Tim keamanan juga dapat memanfaatkan kueri pencarian ancaman yang diterbitkan Microsoft melalui Defender XDR. Pencarian berdasarkan domain C2 dan user agent dapat dilakukan menggunakan Defender XDR maupun Microsoft Sentinel.

Namun, terdapat batasan penting dalam penggunaan kueri tersebut. Setiap kueri hanya memeriksa aktivitas selama tujuh hari terakhir. Dengan demikian, jika kueri dijalankan tanpa penyesuaian, aktivitas dari Oktober 2025 atau Mei 2026 tidak akan ditemukan apabila sudah berada di luar rentang waktu pencarian.

Microsoft juga mengingatkan bahwa keberadaan berkas WinSparkle.dll pada direktori Poedit tidak otomatis menunjukkan infeksi. Berkas tersebut merupakan komponen normal aplikasi. Untuk memastikan apakah berkas mencurigakan, tim keamanan perlu membandingkan hash-nya dengan indikator yang telah dipublikasikan.

Langkah Pencegahan yang Direkomendasikan Microsoft

Microsoft merekomendasikan organisasi memperkuat konfigurasi keamanan untuk mengurangi risiko infeksi dan membantu mendeteksi aktivitas NeedyMantis.

Langkah pertama adalah mengaktifkan perlindungan berbasis cloud atau cloud-delivered protection pada Microsoft Defender. Fitur ini membantu sistem keamanan memanfaatkan informasi ancaman untuk mengidentifikasi aktivitas berbahaya.

Organisasi juga disarankan mengaktifkan fitur Block at First Sight, yang membantu memblokir berkas mencurigakan ketika pertama kali terdeteksi. Selain itu, EDR in block mode perlu dipertimbangkan agar kemampuan deteksi dan respons pada perangkat dapat membantu memblokir aktivitas berbahaya.

Rekomendasi lainnya mencakup pengaktifan Network Protection untuk membantu mencegah koneksi ke tujuan jaringan berbahaya, Automatic Attack Disruption untuk membantu menghentikan serangan aktif, serta dua aturan Attack Surface Reduction untuk mengurangi peluang eksploitasi komponen sistem.

Di luar penggunaan Microsoft Defender, organisasi disarankan memantau lalu lintas jaringan keluar untuk mengidentifikasi koneksi ke domain C2 yang telah diketahui. Pemantauan ini dapat membantu mengungkap komunikasi mencurigakan antara perangkat di dalam jaringan dan infrastruktur yang dikendalikan penyerang.

Pengguna DAEMON Tools Lite Diminta Mengambil Tindakan

Temuan NeedyMantis muncul ketika Microsoft menindaklanjuti penyelidikan terhadap serangan rantai pasokan DAEMON Tools. Dalam insiden tersebut, installer resmi DAEMON Tools Lite diketahui membawa kode berbahaya sejak 8 April 2026. Pengembang kemudian mengganti installer yang terdampak dengan versi bersih pada 5 Mei 2026.

Meski demikian, Microsoft menegaskan belum menemukan bukti bahwa NeedyMantis masuk melalui installer DAEMON Tools yang telah dimanipulasi tersebut. Dengan kata lain, keterkaitan penyelidikan tidak berarti kedua kejadian itu telah terbukti menggunakan jalur infeksi yang sama.

Pengembang DAEMON Tools telah menyarankan pengguna yang mengunduh atau memasang DAEMON Tools Lite versi 12.5.1 selama periode terdampak untuk menghapus aplikasi tersebut, menjalankan pemindaian sistem secara menyeluruh, serta mengunduh DAEMON Tools Lite versi 12.6 melalui situs resmi.

Kasus NeedyMantis menjadi pengingat bahwa ancaman siber tidak selalu terlihat melalui aplikasi yang jelas-jelas mencurigakan. Penyerang dapat menyalahgunakan komponen perangkat lunak yang sah, memanfaatkan koneksi jaringan untuk mengendalikan malware, dan mempertahankan akses setelah berhasil menembus sistem.

Karena itu, organisasi perlu menerapkan pertahanan berlapis, memeriksa integritas berkas, memantau koneksi keluar, serta meninjau indikator kompromi secara berkala. Dengan menggabungkan deteksi teknis dan konfigurasi keamanan yang tepat, peluang untuk menemukan aktivitas berbahaya lebih awal dapat ditingkatkan sebelum serangan berkembang menjadi insiden yang lebih besar.