Microsoft Threat Intelligence beschreibt NeedyMantis als modulare Malware-Familie, die in einer begrenzten Zahl gezielter Angriffe nach einer bereits erfolgten Kompromittierung eingesetzt wurde. Der Microsoft Security Blog vom 28. September 2026 nennt betroffene Telekommunikationsorganisationen, Universitäten, medizinische Nonprofits, zwischenstaatliche Organisationen und Regierungsdienstleister. Für KMU ist das Thema relevant, wenn Microsoft Defender XDR, Microsoft Sentinel oder ein Security Assessment genutzt werden: Microsoft liefert konkrete Hunting-Abfragen, IOCs und Hinweise, mit denen Administratoren verdächtige DLL-Sideloading- und C2-Spuren prüfen können.
Was Microsoft am 28. September 2026 meldet
Microsoft ordnet NeedyMantis als Post-Compromise-Malware ein. Die Malware wird laut Quelle typischerweise eingesetzt, nachdem ein Angreifer bereits Zugriff auf eine Umgebung erlangt hat, und dient der langfristigen Präsenz sowie möglichen Folgeoperationen. Microsoft beobachtete Aktivität seit mindestens Oktober 2025 und nennt Storm-3069 als mindestens einen beobachteten Nutzer der Malware. Zugleich stellt Microsoft klar, dass nicht bestimmt wurde, ob alle beobachteten Aktivitäten demselben Operator zuzurechnen sind.
Technisch beschreibt Microsoft mehrere Loader, verschlüsselte Archive, ein eigenes ausführbares Dateiformat und modulare Komponenten. Besonders wichtig für die Praxis: NeedyMantis tarnt sich als legitime Softwarekomponente, etwa in Ordnern von Poedit, curl, Vim oder TightVNC, und nutzt DLL-Sideloading sowie WebSocket-Kommunikation.
Warum das auch kleinere Microsoft-365-Umgebungen betrifft
Microsoft beschreibt keine breite Massenkampagne gegen alle Unternehmen. Trotzdem ist die Prüfung für kleinere Organisationen sinnvoll, wenn Standardsoftware, Remote-Tools oder gemeinsam verwaltete Windows-Geräte eingesetzt werden. Gerade dort fallen ungewöhnliche DLLs in ProgramData- oder Programmordnern, alte Remotezugriffe und ausgehende Verbindungen oft erst spät auf. Microsoft Defender und Microsoft Defender for Endpoint liefern die Signale, die Microsoft in den Hunting-Abfragen nutzt.
- NeedyMantis wurde laut Microsoft nach einer bereits bestehenden Kompromittierung beobachtet.
- Die Quelle nennt legitime Softwarepfade, in denen bösartige Ersatz-DLLs liegen können.
- Microsoft nennt einen C2-Host und den User-Agent
Firefox/21.0als Suchmerkmale. - Defender-XDR-Kunden können die bereitgestellten Advanced-Hunting-Abfragen direkt prüfen.
Dringlichkeit: keine Deadline, aber ein aktuelles Prüf-Fenster
Microsoft nennt keinen Stichtag und keinen Zwang zur Migration. Die Dringlichkeit entsteht aus der Art des Befunds: NeedyMantis erscheint nach der Erstkompromittierung und soll Präsenz in der Umgebung halten. Microsofts Beispielabfragen arbeiten mit einem Sieben-Tage-Zeitraum. Das ist keine Frist, zeigt aber, dass die Prüfung auf aktuelle Telemetrie ausgelegt ist. Wer die Signale erst Wochen später sucht, verliert möglicherweise genau die Prozess-, Datei- und Netzwerkspuren, die Microsoft für die erste Einordnung bereitstellt.
Für ein KMU genügt deshalb kein abstrakter Hinweis auf Malware. Sinnvoll ist ein kurzer, sauber dokumentierter Check: Gibt es Treffer auf die genannten Pfade, den genannten C2-Host, den User-Agent oder die Microsoft-Defender-Erkennungen? Diese Einordnung bleibt bewusst technisch: Sie ersetzt keine Attribution und keine allgemeine Krisenbewertung, sondern prüft, ob die von Microsoft veröffentlichten Indikatoren in der eigenen Telemetrie sichtbar sind.
Welche Microsoft-Werkzeuge die Quelle nennt
Microsoft verweist auf Microsoft Defender XDR, Advanced Hunting, Threat Analytics, Microsoft Sentinel und Microsoft Security Copilot. Microsoft Learn beschreibt Advanced Hunting als abfragebasiertes Werkzeug, mit dem sich bis zu 30 Tage native Defender-XDR-Rohdaten durchsuchen lassen. Threat Analytics zeigt laut Microsoft aktuelle Bedrohungsberichte, betroffene Assets, Exposition und empfohlene Maßnahmen im Defender-Portal. Microsoft Security Copilot kann laut Microsoft im Defender-Kontext unter anderem Vorfälle, Dateien, Skripte, Identitäten und Hunting-Abfragen zusammenfassen oder erzeugen.
Die Quelle erwähnt außerdem Attack-Surface-Reduction-Regeln. Microsoft Learn beschreibt ASR-Regeln als Defender-Funktion gegen riskantes Verhalten, etwa obfuskierten Skriptcode, Credential-Stealing aus LSASS oder Prozessstarts über PsExec und WMI.
Konkrete nächste Schritte für Administratoren
- Die Microsoft-Defender-XDR-Abfragen aus dem Blog in Advanced Hunting ausführen und Treffer dokumentieren.
- Auf die genannten DLL-Dateinamen und Pfade prüfen, besonders unter
ProgramDataund Softwareordnern. - Verbindungen zum genannten C2-Host sowie den User-Agent
Firefox/21.0in Defender oder Sentinel suchen. - Threat-Analytics-Berichte im Defender-Portal auf NeedyMantis oder verwandte Aktivität prüfen.
- ASR-Regeln zunächst anhand der Microsoft-Sicherheitsempfehlungen und Benutzerwirkung bewerten, bevor Blockmodus gesetzt wird.
In einem Microsoft Security Assessment lässt sich daraus ein sauberer Prüfpunkt machen: Sind Endpoint-Telemetrie, Hunting-Rechte, ASR-Regeln und Sentinel-Mapping so eingerichtet, dass ein solcher Post-Compromise-Befund auffallen würde?
Offizielle Microsoft-Quellen
- Microsoft Security Blog: NeedyMantis
- Microsoft Learn: Advanced Hunting in Microsoft Defender XDR
- Microsoft Learn: Threat Analytics in Microsoft Defender
- Microsoft Learn: Attack Surface Reduction rules reference
Wenn Sie prüfen möchten, ob Defender-XDR-Hunting, Sentinel-Signale und ASR-Regeln in Ihrer Umgebung belastbar eingerichtet sind, unterstützen wir bei einem fokussierten Review – sprechen Sie uns an.
Was bedeutet das für Ihre Umgebung?
Ordnen Sie das Thema im Kontext Ihrer Microsoft-365-Umgebung ein und legen Sie einen sinnvollen nächsten Schritt fest.
Sie sprechen direkt mit Sebastian Kerssen – seit 2014 im Microsoft-Umfeld, mit persönlicher Beratung und direktem Ansprechpartner.
