Kaspersky: NetamLoader атакует госучреждения Азии через модифицированную Windows

Атака использует модифицированную Windows 10 для заражения госучреждений Азии

Эксперты «Лаборатории Касперского» выявили атаку, нацеленную на государственные организации в Азии. Злоумышленники использовали модифицированную версию Windows 10. Вредоносный фреймворк NetamLoader запускался с помощью легитимных программных компонентов. Он способен загружать и выполнять дополнительный код, скрывая свою активность. Исследование представили на конференции Security Analyst Summit 2026.

Архив с вредоносными инструкциями найден в папке обновлений Windows

В первой половине 2026 года эксперты обнаружили подозрительный конфигурационный файл в архиве в папке обновлений Windows. Большинство сопутствующих программ были легитимными, включая компоненты Patch My PC и подписанный модуль Microsoft. Злоумышленники модифицировали файлы так, чтобы легитимное ПО загружало вредоносные инструкции. Расположение и содержимое архива указывают на атаку через цепочку поставок ПО. Эксперты не установили, как архив попал на устройство жертвы. Они не подтвердили компрометацию Patch My PC или его систем дистрибуции.

NetamLoader маскирует активность и замедляет обнаружение

Вредоносное ПО разработано под конкретную версию Windows 10. NetamLoader распаковывает вредоносное содержимое через несколько уровней кодирования, сжатия и шифрования. Затем он переносит выполнение кода в легитимный процесс Windows. Это затрудняет отслеживание связи с исходной программой. Фреймворк вмешивается в работу сканирования на наличие вредоносного ПО и удаляет файлы, которые могли бы помочь восстановить ход атаки. После запуска NetamLoader связывается с сервером злоумышленников для получения инструкций. Первое соединение происходит с задержкой от 20 до 40 минут. При отсутствии корректного ответа сервер программа ожидает от 22 до 28 часов перед повторной попыткой. Длительные интервалы затрудняют обнаружение подозрительных соединений при кратковременном мониторинге.

Атака не связана с известными группами

Эксперты «Лаборатории Касперского» не подтвердили связь описанной целевой атаки с какой-либо известной группой. Сергей Ложкин, руководитель Kaspersky GReAT в Азии, Африке и на Ближнем Востоке, отметил важность анализа взаимодействия компонентов ПО. Он подчеркнул, что технологический суверенитет требует защиты всей экосистемы, включая каналы распространения обновлений и инструменты обслуживания.

Решения Kaspersky детектируют угрозу как HEUR:Trojan.MSIL.NetamLoader.gen

Решения «Лаборатории Касперского» детектируют данную угрозу с вердиктами HEUR:Trojan.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* и Trojan.Script.Agent. Подробный технический отчёт доступен на Securelist.

Предоставляйте ИБ-специалистам свежую информацию о тактиках злоумышленников

Организациям следует предоставлять ИБ-специалистам актуальную информацию о тактиках, техниках и процедурах злоумышленников. Сервисы Kaspersky Threat Intelligence предоставляют данные о киберугрозах и индикаторах компрометации (IoC). Они основаны на поведенческих признаках и включают подробные отчёты для поиска угроз.

Проверяйте каналы доставки обновлений ПО

Необходимо проверять каналы доставки обновлений ПО. Злоумышленники разместили вредоносный пакет в папке, которую Windows использует для хранения загруженных обновлений. Отслеживайте появление неожиданных исполняемых и конфигурационных файлов в таких каталогах. Проверяйте происхождение каждого пакета обновлений. Разрешайте запуск сторонних инструментов управления обновлениями только из доверенных источников.

Отслеживайте скрытую вредоносную активность на конечных устройствах

Используйте решения для отслеживания скрытой вредоносной активности на конечных устройствах, например Kaspersky EDR Expert. Решение сопоставляет подозрительные события, которые по отдельности могут выглядеть как обычная системная активность. К таким событиям относятся загрузка кода подписанной программой через изменённый конфигурационный файл, подключение системного процесса Windows к внешним серверам и вмешательство в работу антивирусного сканирования.

Используйте решения для защиты от целевых атак

Применяйте решения для защиты от целевых атак, контролирующие сетевой трафик, например Kaspersky Anti Targeted Attack. Платформа обнаруживает редкие зашифрованные соединения с неизвестными внешними серверами, в том числе скрытые за сетями доставки контента. Это помогает отслеживать активность вредоносного ПО, которое может делать перерывы между соединениями с управляющим сервером на несколько часов или дней.

Обеспечьте централизованное хранение журналов событий

Обеспечьте централизованное хранение журналов событий с помощью SIEM-платформы Kaspersky Unified Monitoring and Analysis Platform. NetamLoader удалял файлы кеша, журналы использования .NET и записи из журналов компонента обновления системы. Централизованный сбор данных позволяет сохранять цифровые следы, которые пытаются уничтожить злоумышленники. Он также позволяет получать оповещения о подозрительных пропусках в локальных журналах.