Исследователи в области кибербезопасности раскрыли подробности о «высокосложной цепочке заражения», нацеленной на правительственные организации в Азии. Эта активность, подробно описанная компанией Kaspersky на этой неделе, была направлена на специализированную сборку Windows 10, используемую исключительно государственными структурами в Азии, и включает развертывание ранее не документированного фреймворка для загрузки .NET-сборок под кодовым названием NetamLoader. Атака не была приписана какому-либо известному злоумышленнику или группе. Также неясно, затронуло ли вторжение более одной системы и позволило ли оно хакерам украсть какую-либо конфиденциальную информацию. Российская компания по кибербезопасности сообщила, что артефакт был обнаружен в первой половине 2026 года, упакованный в архив Windows cabinet (CAB) и размещенный в каталоге, где хранятся пакеты обновлений операционной системы Windows. Предполагается, что операция включала атаку на цепочку поставок, при которой злоумышленники скомпрометировали доверенного стороннего поставщика для получения доступа к конечным пользователям, зависящим от его услуг или программного обеспечения. Образец содержит файл “.config”, который использует внедрение AppDomainManager для загрузки произвольных .NET-сборок. Внедрение AppDomainManager является методом атак, используемым для загрузки произвольных полезных нагрузок путем перехвата механизма AppDomainManager в .NET Framework при запуске .NET-приложения. Иными словами, этот подход нацелен на инициализацию домена приложения в .NET Framework для достижения выполнения кода. Конечный результат тот же, что и при боковой загрузке DLL: запуск вредоносного кода в процессе легитимного приложения, чтобы остаться незамеченным. По данным Kaspersky, архив CAB, содержащий файл .config, был помещен по пути “C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24”, а его содержимое было извлечено и помещено в “C:\Windows\SoftwareDistribution\Download\Install\”. Точный способ доставки архива CAB остается неизвестным. В архиве присутствуют семь файлов, четыре из которых являются легитимными компонентами Patch My PC, программного обеспечения для управления конечными точками. Ни один из файлов, за исключением “Resources.resx”, не содержит вредоносного кода. Цепочка заражения разворачивается как двухэтапный процесс следующим образом: Краткое описание этих полезных нагрузок приведено ниже: “Если получен действительный ответ от C2, цикл приостанавливается на 5-6 минут перед следующим запросом; в противном случае он приостанавливается на 22-28 часов, проверяя каждые 10 минут, истекло ли отведенное время”, — пояснили в Kaspersky. Телеметрические данные, собранные Kaspersky, выявили одного пострадавшего в Азии, при этом NetamLoader был разработан для атаки на сборку Windows 10, настроенную исключительно для правительственного использования. Хотя целевая азиатская страна не была раскрыта, есть признаки того, что это, вероятно, Китай, поскольку Microsoft предлагает специальную версию под названием Windows 10 China Government Edition, предназначенную специально для китайского правительства и государственных предприятий. Ранее в августе Bloomberg сообщил, что Министерство государственной безопасности Китая предписало некоторым правительственным учреждениям прекратить использование “Government Edition” в пользу дистрибутивов Linux китайского производства в рамках усилий по снижению зависимости от иностранных технологий. “Инструкция Пекина была вызвана опасениями по поводу безопасности данных”, — сообщило агентство Bloomberg со ссылкой на “источники, знакомые с этим вопросом”. Дополнительные подробности на тот момент не раскрывались. “В нынешнем геополитическом климате растущее число стран создает собственные основные программные платформы, включая операционные системы, базы данных, промежуточное ПО и облачные сервисы, причем операционные системы часто являются главным приоритетом”, — заключили в Kaspersky. “Преимущество заключается в том, что каждая страна контролирует разработку, эксплуатацию и обновление собственных операционных систем, предоставляя ей полную автономию над всем процессом. С другой стороны, это также означает, что каждая страна должна самостоятельно защищать всю эту обширную экосистему. Доведение эксплуатации и обслуживания такой системы до зрелости — длительный процесс.”
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
