Daftar Isi

 

Microsoft Peringatkan NeedyMantis, Malware Berbahaya yang Mengincar Jaringan Organisasi

Ancaman keamanan siber terus berkembang dengan teknik serangan yang semakin sulit dikenali. Salah satu ancaman terbaru yang menjadi perhatian adalah NeedyMantis, keluarga malware yang digunakan peretas untuk mempertahankan akses jangka panjang ke jaringan organisasi yang telah berhasil mereka tembus.

Microsoft mengungkap keberadaan malware ini setelah menyelidiki sejumlah serangan tertarget terhadap berbagai organisasi, mulai dari perusahaan telekomunikasi, perguruan tinggi, lembaga medis nirlaba, hingga kontraktor pemerintah. Aktivitas NeedyMantis diketahui telah berlangsung setidaknya sejak Oktober 2025.

Dalam analisis teknis yang diterbitkan pada 28 September 2026, Microsoft menjelaskan bahwa NeedyMantis memanfaatkan teknik DLL sideloading untuk menyamarkan komponen berbahaya melalui program yang terlihat sah. Malware ini juga mampu berkomunikasi dengan server perintah dan kendali atau command-and-control (C2), sehingga operator dapat mengelola komponen yang berjalan pada sistem korban dari jarak jauh.

Temuan tersebut menjadi pengingat bahwa keberhasilan serangan siber tidak selalu ditandai dengan pencurian data secara langsung. Dalam beberapa kasus, penyerang justru berusaha mempertahankan akses tersembunyi agar dapat melanjutkan aktivitasnya di kemudian hari.

1. Mengenal NeedyMantis dan Cara Kerjanya

NeedyMantis merupakan keluarga malware yang dirancang untuk menjalankan operasi setelah penyerang memperoleh akses ke sistem korban. Dalam terminologi keamanan siber, aktivitas semacam ini dikenal sebagai post-compromise operation, yaitu rangkaian tindakan yang dilakukan setelah suatu sistem berhasil ditembus.

Pendekatan tersebut memberikan keuntungan bagi penyerang. Mereka tidak harus menyelesaikan seluruh aktivitas dalam satu waktu, tetapi dapat mempertahankan jalur akses untuk mengirimkan instruksi, menjalankan komponen tambahan, atau melanjutkan operasi sesuai kebutuhan.

Microsoft menemukan NeedyMantis dalam sejumlah kecil insiden yang menyasar organisasi tertentu. Pola ini menunjukkan bahwa malware tersebut digunakan dalam operasi tertarget, bukan semata-mata disebarkan secara luas kepada pengguna internet secara acak.

Microsoft menemukan malware tersebut ketika menindaklanjuti indikator serangan yang sebelumnya diidentifikasi Kaspersky dalam penyelidikan terhadap serangan rantai pasokan perangkat lunak DAEMON Tools.

Meski demikian, Microsoft menegaskan belum menemukan bukti bahwa NeedyMantis disebarkan melalui installer DAEMON Tools yang telah dimanipulasi. Keterkaitan kedua penyelidikan tersebut tidak berarti keduanya menggunakan jalur infeksi yang sama.

Perbedaan ini penting karena investigasi keamanan siber sering kali menemukan beberapa aktivitas yang saling berdekatan, tetapi belum tentu dilakukan oleh kelompok atau melalui metode yang identik.

2. DLL Sideloading, Teknik untuk Menyamarkan Malware

Salah satu aspek paling menarik sekaligus mengkhawatirkan dari NeedyMantis adalah penggunaan teknik DLL sideloading.

DLL atau Dynamic Link Library merupakan berkas yang menyimpan kumpulan kode dan fungsi yang dapat digunakan oleh aplikasi Windows. Dengan memanfaatkan DLL, pengembang perangkat lunak dapat membagi fungsi program ke dalam beberapa komponen sehingga aplikasi lebih mudah dikembangkan dan dipelihara.

Namun, mekanisme tersebut juga dapat disalahgunakan oleh penyerang.

Dalam teknik DLL sideloading, pelaku menempatkan DLL berbahaya di lokasi yang memungkinkan sebuah aplikasi memuatnya ketika dijalankan. Aplikasi tersebut bisa saja merupakan program yang sah, tetapi salah satu komponen yang dimuatnya telah diganti atau dimanipulasi.

Akibatnya, proses yang terlihat normal justru dapat menjadi pintu masuk bagi kode berbahaya.

Microsoft menemukan bahwa paket NeedyMantis terdiri atas tiga komponen utama, yaitu salinan program yang sah, DLL berbahaya dengan nama menyerupai berkas yang biasa digunakan aplikasi, serta arsip terenkripsi yang menyimpan komponen malware berikutnya.

Ketika program dijalankan, aplikasi memuat DLL yang telah disiapkan penyerang. DLL tersebut kemudian mengekstrak komponen berikutnya dari arsip terenkripsi untuk melanjutkan proses infeksi.

Dalam salah satu sampel yang diperiksa Microsoft, komponen berbahaya menggantikan WinSparkle.dll, yaitu berkas yang berkaitan dengan mekanisme pembaruan aplikasi Poedit.

Poedit sendiri merupakan aplikasi untuk menerjemahkan perangkat lunak. Selain Poedit, NeedyMantis juga ditemukan memanfaatkan program seperti curl, Vim, dan TightVNC. Malware tersebut turut menyamar sebagai DLL yang berkaitan dengan Microsoft Office, Broadcom, Intel, serta NVIDIA.

Penggunaan nama aplikasi dan komponen yang dikenal membuat pemeriksaan keamanan menjadi lebih rumit. Memastikan bahwa sebuah program berasal dari pengembang tepercaya saja tidak cukup. Organisasi juga perlu memeriksa integritas berkas yang digunakan aplikasi tersebut.

Baca juga : Tanda Tangan di Word Tidak Terverifikasi? Ini Penyebab dan Solusi Alternatifnya

3. NeedyMantis Mempertahankan Akses Lewat Komunikasi Jarak Jauh

Setelah komponen utama berhasil dijalankan, NeedyMantis menghubungkan perangkat korban dengan server perintah dan kendali atau C2.

Menurut Microsoft, komunikasi awal dilakukan melalui HTTPS, kemudian beralih menggunakan WebSocket. Protokol WebSocket memungkinkan pertukaran data secara berkelanjutan antara dua pihak melalui koneksi yang tetap terbuka.

Dalam konteks malware, mekanisme ini memungkinkan perangkat yang terinfeksi berkomunikasi dengan infrastruktur yang dikendalikan operator.

Melalui koneksi tersebut, operator NeedyMantis dapat memuat dan menghentikan modul tambahan, sekaligus mengirimkan data kepada modul tersebut. Namun, Microsoft belum mengonfirmasi fungsi spesifik dari seluruh modul tambahan yang digunakan malware ini.

Kemampuan tersebut tetap perlu diwaspadai karena memberikan fleksibilitas kepada penyerang dalam mengelola sistem yang telah mereka kompromikan.

Microsoft juga menemukan bahwa versi NeedyMantis yang lebih lama, terdeteksi pada Oktober 2025, memiliki modul persistensi yang memanfaatkan layanan Windows.

Persistensi merupakan mekanisme yang memungkinkan malware tetap berada di sistem atau kembali aktif setelah kondisi tertentu, misalnya ketika layanan dijalankan kembali. Fitur semacam ini dapat menyulitkan upaya pembersihan apabila tim keamanan hanya menghentikan proses malware tanpa mengidentifikasi mekanisme yang membuatnya bertahan.

Meski begitu, Microsoft belum menjelaskan secara terperinci bagaimana versi terbaru yang dianalisis mempertahankan keberadaannya pada komputer korban.

Dalam salah satu insiden, operator juga menggunakan Impacket untuk menyalin paket malware dari folder berbagi jaringan dan menjalankannya pada komputer sasaran. Impacket merupakan perangkat yang memiliki berbagai fungsi untuk berinteraksi dengan jaringan, tetapi dapat disalahgunakan untuk mendukung aktivitas berbahaya.

Microsoft tidak menyebutkan satu metode yang selalu digunakan untuk memperoleh akses awal. Artinya, cara masuk ke jaringan dapat berbeda antara satu insiden dan insiden lainnya.

4. Storm-3069 Diduga Memiliki Keterkaitan dengan China

Microsoft melacak sebagian aktivitas yang berkaitan dengan NeedyMantis menggunakan nama Storm-3069. Penamaan tersebut merupakan identitas sementara yang digunakan Microsoft untuk melacak kelompok atau aktivitas ancaman yang masih diselidiki.

Berdasarkan penilaian Microsoft, aktivitas Storm-3069 kemungkinan berasal dari China. Kesimpulan itu didasarkan pada sejumlah karakteristik operasi, termasuk pemilihan target dan pola serangan yang dinilai sesuai dengan aktivitas kelompok peretas yang dikaitkan dengan China.

Namun, Microsoft belum mengaitkan Storm-3069 secara langsung dengan aktor negara China. Identitas pelaku dan hubungan mereka dengan seluruh aktivitas NeedyMantis juga belum dapat dipastikan.

Selain itu, Microsoft menemukan penggunaan NeedyMantis di luar aktivitas Storm-3069 yang berkaitan dengan penyelidikan DAEMON Tools. Hal ini membuka kemungkinan bahwa keluarga malware tersebut digunakan oleh lebih dari satu kelompok.

Dalam penyelidikan serangan DAEMON Tools, Google Threat Intelligence Group melacak pelaku menggunakan nama UNC6863. Pada Juni 2026, Mandiant menggambarkan UNC6863 sebagai aktor yang diduga memiliki keterkaitan dengan China dan memanfaatkan kompromi DAEMON Tools untuk menyebarkan malware.

Sementara itu, Kaspersky sebelumnya menemukan teks berbahasa China di dalam malware yang terkait dengan penyelidikan tersebut.

Meski terdapat sejumlah kesamaan, belum diketahui apakah UNC6863 dan Storm-3069 merupakan kelompok yang sama. Karena itu, dugaan mengenai asal-usul pelaku perlu dibedakan dari atribusi yang telah terkonfirmasi.

5. Microsoft Membagikan Indikator untuk Mendeteksi NeedyMantis

Untuk membantu organisasi mengidentifikasi kemungkinan infeksi, Microsoft menerbitkan indikator kompromi atau indicators of compromise (IoC).

Indikator ini mencakup hash SHA-256, domain C2, user agent, serta sejumlah jalur berkas yang dapat diperiksa oleh tim keamanan.

Berikut tiga hash SHA-256 yang diidentifikasi Microsoft:

• e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e — terkait pemuat tahap pertama WinSparkle.dll yang ditemukan pada 21 Mei 2026.
• 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef — terkait arsip terenkripsi bernama WinSparkle yang ditemukan pada 23 Mei 2026.
• c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 — terkait arsip terenkripsi bernama libcurl versi lama yang ditemukan pada 3 Oktober 2025.

Microsoft juga mengidentifikasi domain C2 corp.tripswithengine[.]com pada port 443. Malware tersebut menggunakan user agent firefox/21.0 yang ditetapkan secara permanen dalam DLL komunikasinya.

Selain itu, tim keamanan dapat memeriksa sejumlah lokasi berkas pada sistem Windows, antara lain:

• %ProgramFiles%\Poedit\WinSparkle.dll
• %ProgramData%\USOShared\libcurl.dll
• %ProgramData%\VIM\vim64.dll
• %ProgramData%\TightVNC\VIM\vim64.dll
• %ProgramData%\office\dbghelp.dll
• %ProgramData%\broadcom\dbghelp.dll
• %ProgramData%\Intel\jli.dll
• %ProgramFiles%\modifiable\nvml.dll
• %ProgramData%\ics\nvml.dll

Microsoft Defender Antivirus mendeteksi ancaman ini menggunakan nama TrojanDropper:Win64/NeedyMantis dan Behavior:Win64/NeedyMantis.

Tim keamanan juga dapat menggunakan kueri pencarian ancaman melalui Defender XDR dan Microsoft Sentinel untuk menelusuri aktivitas yang berkaitan dengan domain C2 dan user agent tersebut.

Namun, terdapat batasan yang perlu diperhatikan. Setiap kueri yang dipublikasikan hanya memeriksa aktivitas selama tujuh hari terakhir. Untuk menyelidiki kemungkinan infeksi lama, rentang waktu pencarian perlu diperluas sesuai kebutuhan.

Microsoft juga mengingatkan bahwa keberadaan WinSparkle.dll di direktori Poedit tidak otomatis menandakan infeksi. Tim keamanan harus membandingkan hash berkas dengan indikator yang diketahui sebelum menarik kesimpulan.

6. Langkah Pencegahan yang Perlu Dilakukan Organisasi

Microsoft merekomendasikan sejumlah langkah untuk memperkuat perlindungan terhadap NeedyMantis dan ancaman serupa.

Pertama, organisasi perlu mengaktifkan cloud-delivered protection pada Microsoft Defender. Fitur ini membantu perangkat memanfaatkan informasi ancaman berbasis cloud untuk mendukung proses deteksi.

Kedua, fitur Block at First Sight dapat diaktifkan untuk membantu memblokir berkas mencurigakan sejak awal terdeteksi. Organisasi juga disarankan mempertimbangkan EDR in block mode agar kemampuan deteksi dan respons dapat membantu menghentikan aktivitas berbahaya.

Langkah lainnya meliputi pengaktifan Network Protection untuk membantu mencegah koneksi ke tujuan berbahaya, Automatic Attack Disruption untuk membantu menghentikan serangan aktif, serta aturan Attack Surface Reduction guna mengurangi peluang penyalahgunaan komponen sistem.

Selain mengandalkan antivirus, organisasi sebaiknya memantau lalu lintas jaringan keluar. Koneksi yang tidak biasa, terutama menuju domain C2 yang telah diketahui, dapat menjadi petunjuk penting bahwa sebuah perangkat berkomunikasi dengan infrastruktur penyerang.

Pemeriksaan integritas aplikasi, pembatasan akses jaringan, pembaruan perangkat lunak, dan pemantauan aktivitas sistem juga perlu menjadi bagian dari strategi pertahanan berlapis.

7. Pengguna DAEMON Tools Lite Perlu Memeriksa Sistem

Temuan NeedyMantis muncul di tengah penyelidikan serangan rantai pasokan DAEMON Tools. Dalam insiden tersebut, installer resmi DAEMON Tools Lite diketahui membawa kode berbahaya sejak 8 April 2026. Pengembang kemudian mengganti installer yang terdampak dengan versi bersih pada 5 Mei 2026.

Meski demikian, Microsoft belum menemukan bukti bahwa NeedyMantis disebarkan melalui installer yang telah dimanipulasi tersebut.

Pengembang DAEMON Tools menyarankan pengguna yang mengunduh atau memasang DAEMON Tools Lite versi 12.5.1 selama periode terdampak untuk menghapus aplikasi tersebut, menjalankan pemindaian sistem secara menyeluruh, lalu mengunduh versi 12.6 melalui situs resmi.

Pengguna juga sebaiknya tidak menganggap bahwa menghapus aplikasi saja otomatis membersihkan seluruh kemungkinan infeksi. Apabila perangkat menunjukkan aktivitas mencurigakan, pemeriksaan keamanan lebih lanjut tetap diperlukan.

Kesimpulan

Kemunculan NeedyMantis memperlihatkan bagaimana peretas dapat menyalahgunakan perangkat lunak yang terlihat sah untuk mempertahankan akses ke jaringan organisasi. Dengan menggabungkan DLL sideloading, komunikasi C2, dan kemampuan memuat modul tambahan, malware ini berpotensi menyulitkan proses deteksi serta penanganan insiden.

Meski identitas pelaku dan sejumlah kemampuan teknisnya masih belum dipastikan, temuan Microsoft memberikan petunjuk penting bagi organisasi untuk memperkuat pertahanan mereka.

Pemeriksaan hash, pemantauan koneksi jaringan, pengaktifan fitur keamanan, serta investigasi terhadap aktivitas yang tidak biasa dapat membantu mengidentifikasi ancaman lebih awal. Pada akhirnya, keamanan siber tidak cukup hanya bergantung pada aplikasi yang tepercaya. Integritas setiap komponen, aktivitas yang berlangsung di dalam sistem, dan komunikasi jaringan juga harus menjadi perhatian utama.