Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили атаку, нацеленную на модифицированную версию Windows 10, которая используется только государственными организациями в одной из стран Азии. Злоумышленники воспользовались легитимными программными компонентами для запуска NetamLoader — ранее неизвестного вредоносного фреймворка, способного получать и выполнять дополнительный код, скрывая при этом свою активность. Об этом CNews сообщили представители «Лаборатории Касперского».
Как обнаружили атаку. В первой половине 2026 г. эксперты «Лаборатории Касперского» нашли подозрительный конфигурационный файл в архиве, расположенном в папке обновлений Windows. Большинство сопутствующих программ были легитимными, в том числе компоненты стороннего инструмента для управления обновлениями Patch My PC и подписанный модуль Microsoft. Злоумышленники модифицировали вспомогательные файлы таким образом, чтобы легитимное ПО загружало вредоносные инструкции. Расположение и содержимое архива указывают на возможную атаку через цепочку поставок ПО, при которой злоумышленники используют механизмы распространения или обновления программ для проникновения в системы жертв. Экспертам при этом не удалось установить, каким образом архив попал на устройство жертвы, а также подтвердить, что сам инструмент Patch My PC или системы его дистрибуции были скомпрометированы.
Что известно про NetamLoader. Вредоносное ПО в рамках данной атаки было разработано специально под конкретную версию операционной системы Windows. NetamLoader распаковывает вредоносное содержимое, последовательно проходя несколько уровней кодирования, сжатия и шифрования. Затем он переносит выполнение вредоносного кода в легитимный процесс Windows, что затрудняет отслеживание его связи с исходной программой. Кроме того, фреймворк вмешивается в работу функции сканирования на наличие вредоносного ПО и удаляет файлы, которые могли бы помочь восстановить ход атаки.
После запуска NetamLoader связывается с сервером злоумышленников для получения дальнейших инструкций и изменений конфигурации. Согласно конфигурациям, которые проанализировали эксперты, первое соединение с сервером происходит с задержкой от 20 до 40 минут. Если сервер не отправляет корректный ответ, вредоносная программа ожидает от 22 до 28 часов, прежде чем повторить попытку. Из-за таких длительных интервалов при кратковременном мониторинге сетевой активности ИБ-специалисты могут не заметить подозрительных соединений.
На данный момент эксперты «Лаборатории Касперского» не подтвердили связь описанной целевой атаки с какой-либо известной группой.
«Технологический суверенитет — приоритет для многих государств, и часто этот процесс начинается с развития операционных систем. Наличие собственных платформ даёт больше контроля, но вместе с тем требует защиты всей связанной с ними экосистемы — от каналов распространения обновлений до инструментов технического обслуживания. При этом для формирования зрелой и безопасной экосистемы необходимо время. Данный случай показывает, почему экспертам по кибербезопасности важно анализировать не только легитимность программы, но и обращать внимание на то, как взаимодействуют ее компоненты», — сказал Сергей Ложкин, руководитель Kaspersky GReAT в Азии, Африке и на Ближнем Востоке.
Чтобы защититься от подобных кибератак, «Лаборатория Касперского» рекомендует организациям: предоставлять ИБ-специалистам свежую информацию о новейших тактиках, техниках и процедурах злоумышленников; проверять каналы доставки обновлений ПО, отслеживать появление неожиданных исполняемых и конфигурационных файлов в подобных каталогах, проверять происхождение каждого пакета обновлений и разрешать запуск сторонних инструментов управления обновлениями только из доверенных источников; отслеживать скрытую вредоносную активность на конечных устройствах; использовать решения для защиты от целевых атак, позволяющие контролировать сетевой трафик; обеспечить централизованное хранение журналов событий.
Поделиться
