Apple łata flawę, a hakerzy wracają do NeedyMantis

Dwie ważne informacje z jednego dnia

Apple opublikowało poprawki bezpieczeństwa dla starszych wersji iOS, iPadOS i macOS po tym, jak wykryto lukę, która mogła być wykorzystywana w ukierunkowanych atakach. Równolegle Microsoft opisał złośliwe oprogramowanie NeedyMantis, używane do utrzymywania długotrwałego dostępu w już przejętych sieciach.

Choć oba wątki dotyczą różnych platform, łączy je jedno: pokazują, że zaawansowane kampanie cyberataków nadal chętnie korzystają zarówno z błędów w popularnym oprogramowaniu, jak i z dobrze przygotowanego malware do podtrzymywania dostępu.

Apple łata lukę w CoreGraphics

Załataną podatność oznaczono jako CVE-2026-86950. Problem dotyczył komponentu CoreGraphics i był klasyfikowany jako out-of-bounds write — błąd zapisu poza dopuszczalny obszar pamięci. W praktyce mogło to prowadzić do wykonania arbitralnego kodu podczas przetwarzania specjalnie spreparowanego pliku.

Apple podało, że luka została usunięta dzięki ulepszonemu sprawdzaniu granic. Firma zaznaczyła też, że ma informacje sugerujące możliwe wykorzystanie błędu w bardzo zaawansowanym ataku wymierzonym w konkretne, wybrane osoby.

Nie ujawniono jednak:

• ilu użytkowników mogło być celem,
• czy ataki zakończyły się powodzeniem,
• kiedy po raz pierwszy doszło do potencjalnej eksploatacji luki.

Poprawki trafiły do następujących wersji systemów:

• iOS 26.7.1 i iPadOS 26.7.1
• macOS Tahoe 26.7.1
• macOS Sequoia 15.8.1

Łatka obejmuje urządzenia i modele zgodne z tymi wydaniami, w tym nowsze iPhone'y, iPady oraz komputery Mac z wymienionymi wersjami systemu.

Warto dodać, że to nie pierwsza tego typu sytuacja w ostatnich miesiącach — Apple wcześniej usuwało już inną lukę w dyld, którą według firmy również wykorzystywano w zaawansowanych atakach.

NeedyMantis: narzędzie do cichego utrzymywania dostępu

Drugim głośnym wątkiem jest NeedyMantis — rodzina malware, którą Microsoft opisał jako narzędzie służące do długoterminowego utrzymywania się w sieciach po wcześniejszym włamaniu.

Złośliwe oprogramowanie pojawiało się w niewielkiej liczbie ukierunkowanych intruzji przeciwko:

• firmom telekomunikacyjnym,
• uczelniom,
• organizacjom medycznym non profit,
• organizacjom międzyrządowym,
• wykonawcom obsługującym administrację.

Według analizy Microsoftu aktywność związana z NeedyMantis sięga co najmniej października 2025 roku.

Jak działało to malware

NeedyMantis było dostarczane jako zestaw trzech elementów:

1. legalny program,
2. złośliwa biblioteka DLL o nazwie pasującej do pliku, który aplikacja ładuje,
3. zaszyfrowane archiwum o tej samej nazwie co DLL.

Po uruchomieniu programu dochodziło do DLL sideloading — aplikacja wczytywała podstawioną bibliotekę, a ta rozpakowywała kolejne elementy infekcji.

W opisanych przypadkach wykorzystywano między innymi:

• Poedit,
• curl,
• edytor Vim,
• narzędzie zdalnego dostępu TightVNC.

Malware podszywało się też pod biblioteki kojarzone z Microsoft Office, Broadcom, Intel i NVIDIA.

W jednym z analizowanych wariantów złośliwa biblioteka zastępowała plik WinSparkle.dll, czyli komponent aktualizacyjny używany przez Poedit. W innym incydencie operatorzy, którzy byli już obecni w sieci, skopiowali pakiet na maszynę docelową przy użyciu narzędzi z zestawu Impacket.

Po uruchomieniu:

• DLL rozpakowywała kolejny etap z zaszyfrowanego archiwum,
• główny komponent łączył się z serwerem C2 przez HTTPS,
• a następnie przechodził na komunikację przez WebSocket.

Przez ten kanał atakujący mogli ładować i zdejmować dodatkowe moduły oraz przesyłać im dane. Microsoft nie potwierdził, do czego służyły te moduły. W starszej wersji malware, zaobserwowanej w październiku 2025 roku, znajdował się moduł utrzymywania dostępu wykorzystujący usługi Windows.

Kto stoi za kampanią

Microsoft oznacza część aktywności tymczasową nazwą Storm-3069. To etykieta używana, gdy firma nie ma jeszcze pełnej pewności co do autorów ataku.

Z opisu wynika, że:

• aktywność Storm-3069 prawdopodobnie pochodzi z Chin,
• Microsoft nie przypisał jej jednak jednoznacznie do państwowego aktora,
• możliwe, że więcej niż jedna grupa korzysta z NeedyMantis.

Podobny trop pojawił się wcześniej przy kampanii związanej z kompromitacją instalatorów DAEMON Tools Lite. W tamtym przypadku złośliwy kod znajdował się w oficjalnie podpisanych instalatorach od 8 kwietnia 2026 roku, a czysta wersja została przywrócona 5 maja.

Microsoft zaznacza, że nie widział jeszcze, by NeedyMantis było dostarczane właśnie przez spreparowane instalatory DAEMON Tools, ale oba wątki mogą być ze sobą powiązane na poziomie ekosystemu narzędzi używanych przez atakujących.

Wskaźniki infekcji i obrona

Microsoft opublikował zestaw wskaźników, które mogą pomóc w wykrywaniu NeedyMantis.

Hashe i domena

• SHA-256: e842dd7642c8e04b5ec20b6393848a9c904e4832930950c16664fe7800ba382e — pierwszy etap loadera WinSparkle.dll
• SHA-256: 9cb68f986043a576e19d32184c583b7d8f571c7219d8dc0065dced1c13f077ef — zaszyfrowane archiwum WinSparkle
• SHA-256: c82520eb03c084226be4eafbff46f56dca0aa8804a2a7f23a085a96afe71ef77 — starsza wersja archiwum libcurl
• Domena C2: corp.tripswithengine[.]com
• User agent: firefox/21.0

Przykładowe ścieżki plików

• %ProgramFiles%\Poedit\WinSparkle.dll
• %ProgramData%\USOShared\libcurl.dll
• %ProgramData%\VIM\vim64.dll
• %ProgramData%\TightVNC\VIM\vim64.dll
• %ProgramData%\office\dbghelp.dll
• %ProgramData%\broadcom\dbghelp.dll
• %ProgramData%\Intel\jli.dll
• %ProgramFiles%\modifiable\nvml.dll
• %ProgramData%\ics\nvml.dll

Microsoft Defender Antivirus wykrywa tę aktywność jako:

• TrojanDropper:Win64/NeedyMantis
• Behavior:Win64/NeedyMantis

Firma zaleca też włączenie mechanizmów takich jak:

• cloud-delivered protection,
• block at first sight,
• EDR in block mode,
• network protection,
• automatic attack disruption,
• odpowiednie reguły Attack Surface Reduction.

Dodatkowo warto monitorować ruch wychodzący pod kątem połączeń z domeną C2. W przypadku użytkowników, którzy mogli pobrać zainfekowaną wersję DAEMON Tools Lite 12.5.1, rekomendacja jest prosta: odinstalować program, wykonać pełne skanowanie systemu i pobrać wersję 12.6 z oficjalnego źródła.

Co to oznacza dla użytkowników i firm

Te dwie sprawy przypominają, że współczesne incydenty rzadko ograniczają się do jednego wektora ataku. Z jednej strony mamy lukę w systemach Apple, która mogła być wykorzystana w precyzyjnych atakach na konkretne osoby. Z drugiej — malware nastawione na przetrwanie w sieci i ciche utrzymywanie dostępu przez długi czas.

Dla organizacji oznacza to potrzebę szybkiego wdrażania poprawek, dokładnego monitoringu końcówek oraz kontroli ruchu sieciowego. Dla użytkowników indywidualnych najważniejsze pozostają aktualizacje systemu i ostrożność wobec plików oraz instalatorów, nawet jeśli pochodzą z pozornie znanych źródeł.