- Microsofti detailne NeedyMantis, pahavaraperekond, mida kasutatakse pikaajaliseks juurdepääsuks DLL-i külglaadimise ja WebSocketi käsklus- ja juhtimisfunktsioonide abil.
- Hollandi politsei arreteeris 24-aastase mehe, keda seostatakse ... ShinyHunters; teadete kohaselt on ta Pepijn van der Stap, samas kui rühmitus väitis FBI tööportaali rikkumist.
- ShinyHuntersi ärakasutamine Oracle PeopleSofti CVE-2026-35273 ja väidetavalt möödus WAF-i reeglitest, mõjutades haridust, tehnoloogiat, tervishoidu, põllumajandust, transporti ja valitsust.
- Proofpoint ütleb TA419, Hiinaga seotud rühmitus, teeskles tehisintellekti poliitikaeksperte, et varastada mõttekodade ja töövõtjate volitusi.
Häkkimismaailmas on hiljuti toimunud kaks arengut korraga: riikidega seotud spioonimeeskonnad otsivad pikaajalist juurdepääsu ja kuritegelikud väljapressimisrühmitused käituvad tavapärasest agressiivsemalt. Microsoft on avaldanud tehnilise kirjelduse pahavara perekonnast nimega NeedyMantis , mida on kasutatud piiratud hulgal sissetungides telekommunikatsiooniettevõtete, ülikoolide, meditsiiniliste mittetulundusühingute, valitsustevaheliste organite ja valitsusasutuste vastu. Tööriist näib olevat loodud sissetungijate võrkudes hoidmiseks pärast esimest sissemurdmist, mitte enda laialdaseks levitamiseks.
Samal ajal on Hollandi võimud kinni pidanud 24-aastase mehe seoses ShinyHuntersiga , jõuguga, mida seostatakse suurte andmevarguste ja lunarahaähvardustega. Vahistamine ei ole rühmituse avalikku bravuuri aeglustanud: mõne päeva jooksul võttis nad vastutuse sissetungi eest FBI tööportaali ja oli seotud PeopleSofti haavatavuse ärakasutamisega. Eraldi väidavad teadlased, et Hiinaga liitunud meeskond nimega TA419 on teeselnud tehisintellekti poliitikaeksperte, et varastada mõttekodade, alltöövõtjate ja ülikoolide volitusi.
Microsoft seob NeedyMantise pikaajaliste sissetungidega
Microsofti analüüsi kohaselt on NeedyMantis't täheldatud vähemalt 2025. aasta oktoobrist alates ning see on esinenud väikeses arvus sihitud operatsioonides. Ohvrite hulka kuuluvad telekommunikatsiooniorganisatsioonid, ülikoolid, meditsiinilised mittetulundusühingud, valitsustevahelised organisatsioonid ja valitsusasutused. Pahavara on mõeldud püsivuse ja kontrolli tagamiseks, mitte massiliseks häirimiseks.
NeedyMantiseni viiv jälg pärines osaliselt Kaspersky uurimisest DAEMON Toolsi vastu suunatud tarneahela rünnaku kohta. DAEMON Tools Lite'i ametlikud allkirjastatud installijad kandsid pahatahtlikku koodi alates 8. aprillist 2026 ja arendaja taastas puhta versiooni 5. mail. Microsoft jälgib seotud tegevust kui Storm-3069, kuid pole näinud NeedyMantise enda saabumist selle tarneahela kaudu.
Pahavarapakett koosneb tavaliselt kolmest osast: legitiimsest programmist, pahatahtlikust DLL-failist, mis on nimetatud programmi laaditava faili järgi, ja sama sildiga krüptitud arhiivist. Rakenduse käivitamisel laadib see pahatahtliku DLL-faili, seda tehnikat nimetatakse DLL-i külglaadimiseks.
Sel viisil kuritarvitatud legaalsete programmide hulka kuuluvad Poedit, curl, Vim ja TightVNC . Pahavara on end maskeerinud ka Microsoft Office'i, Broadcomi, Inteli ja NVIDIA-ga seotud DLL-failideks. Ühes näites asendas see Poediti värskenduskomponendi WinSparkle.dll.
Kuidas kasulik koormus oma liiklust varjab
Üksikasjalikus näites kasutas võrgus juba olev operaator Impacketit , et kopeerida jagatud kaustast pakett ja käivitada see sihtmasinas. Esialgne juurdepääs võib juhtumiti erineda.
Pärast laadimist eraldab DLL krüpteeritud arhiivist järgmise etapi ja käivitab selle. See etapp dekodeerib põhikomponendi, mis loob HTTPS-i kaudu ühenduse käsklus- ja juhtimisserveriga ning seejärel lülitub WebSocket- ühendusele.
Selle kanali kaudu saavad operaatorid laadida ja maha laadida lisamooduleid ning saata neile andmeid. Microsoft ei ole kinnitanud, mida need moodulid teevad. Vanem versioon aastast 2025 sisaldas püsivusmoodulit, mis kasutas Windowsi teenuseid ; uuema versiooni püsivusmeetodit ei kirjeldatud üksikasjalikult.
Hiinale omistamine on endiselt ettevaatlik
Storm-3069 on ajutine silt, mille Microsoft annab uutele või arenevatele klastritele, kuni on kindlam, kes nende taga on. Ettevõte on näinud NeedyMantis'i väljaspool DAEMON Toolsi kampaaniat ja väidab, et seda võib kasutada rohkem kui üks rühmitus . Pole veel kindlaks tehtud, kas kogu tegevus pärineb ühelt osapoolelt.
Microsofti hinnangul näib tegevus pärinevat Hiinast, kuid pole seostanud Storm-3069-t Hiina rahvusriigiga. Sihtmärgid ja valitud ohver loovad sobivaid mustreid, mida ettevõte seostab Hiinaga. Kaspersky leidis DAEMON Toolsi pahavarast hiinakeelset teksti , kuid ei omistanud seda.
Google Threat Intelligence Group jälgib DAEMON Toolsi kampaania taga olevat tegijat kui UNC6863 . Mandiant on kirjeldanud UNC6863-t kui kahtlustatavat Hiinaga seotud tegijat, kes kasutas DAEMON Toolsi ohtu pahavara levitamiseks. Kas UNC6863 ja Storm-3069 on sama asi, jääb selgusetuks.
Indikaatorid, tuvastamine ja puhastamine
Microsofti avaldatud indikaatorid hõlmavad kolme SHA-256 räsi, mis on seotud esimese etapi laaduri ja krüpteeritud arhiividega, lisaks C2 domeeni corp.tripswithenginecom pordil 443 ja kõvakodeeritud kasutajaagenti firefox/21.0.
- e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e – esimese etapi laadur WinSparkle.dll, esmakordselt nähtud 21. mail 2026.
- 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef – krüpteeritud arhiiv nimega WinSparkle, mida nähti esmakordselt 23. mail 2026.
- c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 – krüpteeritud arhiiv nimega libcurl, vanem versioon, esmakordselt nähtud 3. oktoobril 2025.
Pahatahtlike DLL-idega täheldatud failiteed hõlmavad Poedit, libcurl, Vim, TightVNC, Office, Broadcom, Intel ja NVIDIA-ga seotud komponente ühiste programmide ja programmiandmete kaustade all.
Defender tuvastab pahavara kui TrojanDropper:Win64/NeedyMantis ja Behavior:Win64/NeedyMantis. Otsingupäringud vaatavad ainult seitse päeva tagasi, seega ei leia nad vanemaid sündmusi oktoobrist 2025 või maist 2026, kui neid ei kohandata. Ainult Poedit raja tabamus ei ole tõend, sest WinSparkle.dll on samuti tavaline Poedit komponent.
Microsoft soovitab pilvepõhist kaitset, blokeerimist esmapilgul, EDR-i blokeerimisrežiimis, võrgukaitset, automaatset rünnakute katkestamist ja teatud rünnakupinna vähendamise reegleid. Samuti soovitab see kontrollida väljaminevat liiklust C2-domeeni ühenduste osas, mida saab teha ilma Defenderita. Kõik, kes on installinud mõjutatud DAEMON Tools Lite 12.5.1, peaksid selle desinstallima, tegema täieliku skannimise ja hankima versiooni 12.6 ametlikult veebisaidilt.
Hollandi vahistamine seab ShinyHuntersi surve alla
Hollandi võimud kinnitasid 24-aastase mehe vahistamist osana uurimisest ShinyHuntersi vastu. ShinyHuntersi süüdistatakse andmete varguses ja väljapressimises enam kui 140 organisatsioonis üle maailma. Politsei teatel vahistati mees 15. septembril ja talle määrati vahi alla võtmine vähemalt 90 päevaks.
Mitmed teated identifitseerivad kahtlusalust kui süüdimõistetud küberkurjategijat Pepijn van der Stapi , kes kunagi kasutas kasutajanime Umbreon. Talle määrati 2023. aastal neli aastat vangistust, millest üks aasta on tingimisi vangistatud, andmevarguste ja väljapressimiste eest, mille käigus prokuröride sõnul teeniti 1.5–2.7 miljonit eurot. Ta vabanes vanglast 2025. aasta detsembris.
Enne vahistamist esitles van der Stap end intervjuude ja meedia teatel taastununa ning töötas Neo Securitys kõrgemal turvatöötaja ametikohal . Ta oli vabatahtlikuna töötanud ka Hollandi Haavatavuse Avalikustamise Instituudis, mis hiljem avalikustas sisemise küberturvalisuse intsidendi, mis hõlmas pahatahtlikku tehisintellekti kasutamist, ja ütles, et see ei paista olevat seotud ShinyHuntersiga. Neo Security ei vastanud kommentaaritaotlustele.
Hollandi politsei on palunud avalikkuse abi 2026. aasta veebruaris toimunud kõnes osalenud hääle tuvastamisel, mis meelitas Odido töötaja sotsiaalse manipuleerimise teel võltsitud saidile sisse logima, mis viis enam kui 6.2 miljoni hollandlase andmete varguseni . ShinyHunters kinnitas, et helistaja oli liige, kuigi vahistatud meest pole ametlikult Odido juhtumiga seostatud.
Uurijad kahtlustavad RTL-i andmetel pärast van der Stapi vahistamist leitud teabe põhjal ka vähemalt kahe mõrva korraldamises välismaal . Hollandi võimud kirjeldasid seda uurimissuunda ShinyHuntersi uurimisest eraldiseisvana.
FBI tööportaali rikkumine ja PeopleSofti ärakasutamine
Mõni päev pärast vahistamist võttis ShinyHunters vastutuse FBI tööle kandideerimise veebisaidil apply.fbijobs.gov toimunud rikkumise eest . Aruannete kohaselt varastatud andmete hulgas olid enam kui 5,000 ametniku sotsiaalkindlustusnumbrid ja isikuandmed, samuti ametikohad või meeskonnad, näiteks eriesindaja, ohtude uurija, suur küberkuritegude üksus ja välisriikide toetatud küberohte uurivad töötajad.
Reuters uuris grupi jagatud dokumente ja leidis FBI töötajatega seotud tundlikke psühhiaatrilisi ja meditsiinilisi faile . Andmete olemuse tõttu on rikkumine tekitanud vastuluureasutustes muret. FBI ei ole juhtumi kohta avalikku üksikasjalikku ülevaadet esitanud.
ShinyHunters väitis, et sai ligipääsu hiljuti parandatud vea CVE-2026-35273 abil Oracle PeopleSoftis, mis on laialdaselt kasutatav personalijuhtimise ja värbamise platvorm. Oracle avaldas paranduse pärast seda, kui viga väidetavalt kasutati juunis nullpäeva algusena.
Mandiant avaldas veebirakenduste tulemüürireeglid organisatsioonidele, mis ei suutnud kiiresti parandusi teha, kuid BleepingComputer teatas, et ShinyHunters kasutas neist möödahiilimiseks URL-i kodeerimise nippi . Mandiant ja Google Threat Intelligence Groupi 25. septembri aruanne kinnitas PeopleSofti haavatavuse massilist ärakasutamist kõrghariduses, tehnoloogias, tervishoius, põllumajanduses, transpordis ja valitsuses.
ShinyHunters ütles TechCrunchile, et FBI rikkumine ei olnud rahaliselt motiveeritud ja selle eesmärk oli vaidlustada grupi vastu esitatud süüdistusi. FBI ütles, et ei avalda varastatud FBI andmeid. FBI küberosakonna juht Brett Leatherman tänas Hollandi partnereid ja kutsus ülejäänud liikmeid üles end üles andma.
Juhtimisvõitlus ShinyHuntersi sees
Juurdlusele lähedal seisvad allikad ütlevad, et rühmituse hiljutised riskantsed käigud FBI ja Vene lunavarameeskonna Cl0p vastu viitavad nihkele vanemast ja mõõdukamast stiilist. Muutus järgnes väidetavalt Jordaaniast Ammanist pärit teismelise küberkurjategija Rey poolt ülevõtmisele , kes tegutseb koalitsioonis ScatteredLapsussHunters.
Seda koalitsiooni kirjeldatakse kui Scattered Spideri, LAPSUS$i ja ShinyHuntersi segu. Reyl oli väidetavalt vaidlus Hollandi häkkeriga ShinyHuntersi kaubamärgi ja andmete kontrolli üle . FBI moonutuslehele jäetud ülisuurt Umbreoni pilti nähti katsena häkkimist hollandlasele külge siduda.
Rey pilkas Twitteris/X-is Cl0p-i ja FBI-d meemiga; tema konto kustutati hiljem pärast seda, kui reporter intervjuud palus. Wiredi teatel tegid ShinyHunters ja SLSH lühikest aega TeamPCP- ga koostööd , et varastatud volitusi rahaks teha, seejärel läks ShinyHunters petturi rolli ja hoidis tulu enda käes. Mandiant oli imbunud TeamPCP-sse ja edastanud volitused pilveteenuse pakkujatele, kes võtmed kehtetuks muutsid.
Mandiant'i uurija Austin Larsen ütles, et ShinyHunters on olnud väljapressimishoos ja võib 2026. aastal ohvritelt ligi 100 miljonit dollarit kätte saada . Van der Stap on väitnud, et tema varasemate kuritegude ajendiks oli soov koguda andmebaase, mitte raha.
Hiinaga liitunud TA419 teeskleb tehisintellekti poliitikaeksperte
Proofpoint väidab, et Hiinaga seotud rühmitus nimega TA419 on USA-s teeselnud tehisintellekti eksperte, sealhulgas Valge Maja teadus- ja tehnoloogiapoliitika büroo endist peadirektori asetäitjat Lynne Edwards Parkerit. Kampaania on aktiivne olnud alates 2025. aasta aprillist.
Alguses tundusid meilid kahjutud ja kutsusid sageli adressaate liituma „tehisintellekti poliitika nõuandekomiteega“. Kui sihtmärk vastas, saatsid ründajad võltsitud sisselogimislehe, mille eesmärk oli volituste varastamine. Ohvrite hulgas olid poliitikaeksperdid mõttekodadest, kaitsetöövõtjatest, ülikoolidest ja advokaadibüroodest USA-s ja Jaapanis.
See tehnika loob võltsitud brauseri hüpikakna legitiimse veebilehe sees, jäljendades päris sisselogimisviiba, nii et ohvrid ei saa tõenäoliselt aru, et nad edastavad teavet. Proofpoint ei nimetanud kõiki sihtmärke, kuid Reuters kinnitas, et Alex Engler, endine Valge Maja ametnik, kes nüüd juhib Penni meedia, tehnoloogia ja demokraatia keskust, sai ühe sõnumitest ja leidis, et see oli pärit isikult, kes oli kellegi teise nimi.
Veebruaris esines sama grupp silmapaistva Anthropicu töötajana, sihikule võttes tehisintellekti poliitikaeksperte. Proofpoint eeldab, et TA419 jätkab pärismaailma ekspertide identiteetide kasutamist mõttekodade ja poliitikaspetsialistide vastu. Parker ei vastanud Al Jazeera kommentaaritaotlusele.
Mida inimesed ja kaitsjad peaksid jälgima
Turvameeskondade jaoks näitavad NeedyMantis indikaatorid ja PeopleSofti ärakasutamise süsteemid, kuidas ründajad segavad usaldusväärset tarkvara, varastatud volitusi ja teadaolevaid haavatavusi. Väljamineva liikluse kontrollimine , ebatavaliste DLL-koormuste ülevaatamine ja haavatavate personalijuhtimise või värbamisplatvormide parandamine võivad seda akent lühendada.
Tavakasutajatele tuletab TA419 kampaania meelde, et viimistletud e-kirjad ja realistlikud sisselogimisviibad võivad siiski olla andmepüük. Ootamatute kutsete kontrollimine teise kanali kaudu ja andmepüügikindla mitmefaktorilise autentimise kasutamine aitab.
Kõigi nende juhtumite puhul on ühiseks jooneks ligipääs: osariikidega seotud meeskonnad soovivad võrkudesse varjuda, samas kui kuritegelikud jõugud soovivad varastatud andmeid makseteks ja avalikuks võimenduseks muuta. NeedyMantise analüüs näitab, kuidas DLL-i kõrvallaadimine ja WebSocket C2 saavad muuta legitiimsed tööriistad tugipunktiks; ShinyHuntersi vahistamine ja FBI rikkumine näitavad, kui kiiresti häkkiv bränd pärast sisemist segadust eskaleeruda saab; ja TA419 tehisintellektil põhinev andmepüük näitab, et sotsiaalne manipuleerimine toimib kõige paremini siis, kui see laenab usaldusväärse nime. Ükski neist lugudest pole isoleeritud ja kaitseõppetunnid kattuvad: parandage vead kiiresti, jälgige ebatavalist liiklust ja failide laadimist ning suhtuge soovimatutesse sisselogimistaotlustesse kahtlustavalt.
