Об этом эксперты рассказали в рамках конференции Security Analyst Summit 2026
Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили атаку, нацеленную на модифицированную версию Windows 10, которая используется только государственными организациями в одной из стран Азии. Злоумышленники воспользовались легитимными программными компонентами для запуска NetamLoader — ранее неизвестного вредоносного фреймворка, способного получать и выполнять дополнительный код, скрывая при этом свою активность. Результаты исследования были представлены в рамках конференции Security Analyst Summit 2026 на Бали.
Как обнаружили атаку. В первой половине 2026 года эксперты «Лаборатории Касперского» нашли подозрительный конфигурационный файл в архиве, расположенном в папке обновлений Windows. Большинство сопутствующих программ были легитимными, в том числе компоненты стороннего инструмента для управления обновлениями Patch My PC и подписанный модуль Microsoft. Злоумышленники модифицировали вспомогательные файлы таким образом, чтобы легитимное ПО загружало вредоносные инструкции. Расположение и содержимое архива указывают на возможную атаку через цепочку поставок ПО, при которой злоумышленники используют механизмы распространения или обновления программ для проникновения в системы жертв. Экспертам при этом не удалось установить, каким образом архив попал на устройство жертвы, а также подтвердить, что сам инструмент Patch My PC или системы его дистрибуции были скомпрометированы.
Что известно про NetamLoader. Вредоносное ПО в рамках данной атаки было разработано специально под конкретную версию операционной системы Windows. NetamLoader распаковывает вредоносное содержимое, последовательно проходя несколько уровней кодирования, сжатия и шифрования. Затем он переносит выполнение вредоносного кода в легитимный процесс Windows, что затрудняет отслеживание его связи с исходной программой. Кроме того, фреймворк вмешивается в работу функции сканирования на наличие вредоносного ПО и удаляет файлы, которые могли бы помочь восстановить ход атаки.
После запуска NetamLoader связывается с сервером злоумышленников для получения дальнейших инструкций и изменений конфигурации. Согласно конфигурациям, которые проанализировали эксперты, первое соединение с сервером происходит с задержкой от 20 до 40 минут. Если сервер не отправляет корректный ответ, вредоносная программа ожидает от 22 до 28 часов, прежде чем повторить попытку. Из-за таких длительных интервалов при кратковременном мониторинге сетевой активности ИБ-специалисты могут не заметить подозрительных соединений.
На данный момент эксперты «Лаборатории Касперского» не подтвердили связь описанной целевой атаки с какой-либо известной группой.
«Технологический суверенитет — приоритет для многих государств, и часто этот процесс начинается с развития операционных систем. Наличие собственных платформ даёт больше контроля, но вместе с тем требует защиты всей связанной с ними экосистемы — от каналов распространения обновлений до инструментов технического обслуживания. При этом для формирования зрелой и безопасной экосистемы необходимо время. Данный случай показывает, почему экспертам по кибербезопасности важно анализировать не только легитимность программы, но и обращать внимание на то, как взаимодействуют её компоненты», — комментирует Сергей Ложкин, руководитель Kaspersky GReAT в Азии, Африке и на Ближнем Востоке.
Решения «Лаборатории Касперского» детектируют данную угрозу со следующими вердиктами: HEUR:Trojan.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* и Trojan.Script.Agent.
Подробный технический отчёт доступен на сайте Securelist.
Чтобы защититься от подобных кибератак, «Лаборатория Касперского» рекомендует организациям:
· предоставлять ИБ-специалистам свежую информацию о новейших тактиках, техниках и процедурах злоумышленников, например с помощью сервисов Kaspersky Threat Intelligence. Они предоставляют актуальные данные о киберугрозах и индикаторах компрометации (IoC) на основе поведенческих признаков, а также подробные отчёты для поиска угроз;
· проверяйте каналы доставки обновлений ПО. В ходе описанной атаки злоумышленники разместили вредоносный пакет в папке, которую Windows использует для хранения загруженных обновлений. Отслеживайте появление неожиданных исполняемых и конфигурационных файлов в подобных каталогах, проверяйте происхождение каждого пакета обновлений и разрешайте запуск сторонних инструментов управления обновлениями только из доверенных источников;
· отслеживайте скрытую вредоносную активность на конечных устройствах, например с помощью Kaspersky EDR Expert. Решение сопоставляет подозрительные события, которые по отдельности могут выглядеть как обычная системная активность. Например, загрузка кода подписанной программой через изменённый конфигурационный файл, подключение системного процесса Windows к внешним серверам, вмешательство в работу механизмов антивирусного сканирования;
· используйте решения для защиты от целевых атак, позволяющие контролировать сетевой трафик, например Kaspersky Anti Targeted Attack. Платформа способна обнаруживать редкие зашифрованные соединения с неизвестными внешними серверами, в том числе скрытыми за сетями доставки контента. Это помогает отслеживать активность вредоносного ПО, которое может делать перерывы между соединениями с управляющим сервером на несколько часов или даже дней;
· обеспечить централизованное хранение журналов событий, например с помощью SIEM-платформы Kaspersky Unified Monitoring and Analysis Platform. В ходе описанной атаки NetamLoader удалял файлы кеша, журналы использования .NET и отдельные записи из журналов компонента обновления системы. Централизованный сбор данных позволяет сохранять цифровые следы, которые пытаются уничтожить злоумышленники, и получать оповещения о подозрительных пропусках в локальных журналах.
О Kaspersky GReAT
Глобальный центр исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) основан в 2008 году. Его задача — выявлять APT-атаки, кампании кибершпионажа, вредоносное ПО, программы-вымогатели и тренды в киберпреступности по всему миру. Сегодня в команде Kaspersky GReAT более 35 экспертов, работающих по всему миру — в Европе, России, Южной Америке, Азии, на Ближнем Востоке. Талантливые профессионалы в сфере кибербезопасности играют ведущую роль в исследовании вредоносного ПО и создании инновационных методов борьбы с ним. Их богатый опыт, мотивация и любознательность способствуют эффективному обнаружению и анализу киберугроз.
