«Лаборатория Касперского» обнаружила целевую атаку на Windows-устройства в государственных учреждениях в Азии

Об этом эксперты рассказали в рамках конференции Security Analyst Summit 2026

Эксперты Глобального центра исследования и анализа угроз «Лаборатории Касперского» (Kaspersky GReAT) обнаружили атаку, нацеленную на модифицированную версию Windows 10, которая используется только государственными организациями в одной из стран Азии. Злоумышленники воспользовались легитимными программными компонентами для запуска NetamLoader — ранее неизвестного вредоносного фреймворка, способного получать и выполнять дополнительный код, скрывая при этом свою активность. Результаты исследования были представлены в рамках конференции Security Analyst Summit 2026 на Бали.

Как обнаружили атаку. В первой половине 2026 года эксперты «Лаборатории Касперского» нашли подозрительный конфигурационный файл в архиве, расположенном в папке обновлений Windows. Большинство сопутствующих программ были легитимными, в том числе компоненты стороннего инструмента для управления обновлениями Patch My PC и подписанный модуль Microsoft. Злоумышленники модифицировали вспомогательные файлы таким образом, чтобы легитимное ПО загружало вредоносные инструкции. Расположение и содержимое архива указывают на возможную атаку через цепочку поставок ПО, при которой злоумышленники используют механизмы распространения или обновления программ для проникновения в системы жертв. Экспертам при этом не удалось установить, каким образом архив попал на устройство жертвы, а также подтвердить, что сам инструмент Patch My PC или системы его дистрибуции были скомпрометированы.

Что известно про NetamLoader. Вредоносное ПО в рамках данной атаки было разработано специально под конкретную версию операционной системы Windows. NetamLoader распаковывает вредоносное содержимое, последовательно проходя несколько уровней кодирования, сжатия и шифрования. Затем он переносит выполнение вредоносного кода в легитимный процесс Windows, что затрудняет отслеживание его связи с исходной программой. Кроме того, фреймворк вмешивается в работу функции сканирования на наличие вредоносного ПО и удаляет файлы, которые могли бы помочь восстановить ход атаки.

После запуска NetamLoader связывается с сервером злоумышленников для получения дальнейших инструкций и изменений конфигурации. Согласно конфигурациям, которые проанализировали эксперты, первое соединение с сервером происходит с задержкой от 20 до 40 минут. Если сервер не отправляет корректный ответ, вредоносная программа ожидает от 22 до 28 часов, прежде чем повторить попытку. Из-за таких длительных интервалов при кратковременном мониторинге сетевой активности ИБ-специалисты могут не заметить подозрительных соединений.

На данный момент эксперты «Лаборатории Касперского» не подтвердили связь описанной целевой атаки с какой-либо известной группой.

«Технологический суверенитет — приоритет для многих государств, и часто этот процесс начинается с развития операционных систем. Наличие собственных платформ даёт больше контроля, но вместе с тем требует защиты всей связанной с ними экосистемы — от каналов распространения обновлений до инструментов технического обслуживания. При этом для формирования зрелой и безопасной экосистемы необходимо время. Данный случай показывает, почему экспертам по кибербезопасности важно анализировать не только легитимность программы, но и обращать внимание на то, как взаимодействуют её компоненты», — комментирует Сергей Ложкин, руководитель Kaspersky GReAT в Азии, Африке и на Ближнем Востоке.

Решения «Лаборатории Касперского» детектируют данную угрозу со следующими вердиктами: HEUR:Trojan.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast.* и Trojan.Script.Agent.

Подробный технический отчёт доступен на сайте Securelist.

Чтобы защититься от подобных кибератак, «Лаборатория Касперского» рекомендует организациям:

• предоставлять ИБ-специалистам свежую информацию о новейших тактиках, техниках и процедурах злоумышленников, например с помощью сервисов Kaspersky Threat Intelligence. Они предоставляют актуальные данные о киберугрозах и индикаторах компрометации (IoC) на основе поведенческих признаков, а также подробные отчёты для поиска угроз;
• проверяйте каналы доставки обновлений ПО. В ходе описанной атаки злоумышленники разместили вредоносный пакет в папке, которую Windows использует для хранения загруженных обновлений. Отслеживайте появление неожиданных исполняемых и конфигурационных файлов в подобных каталогах, проверяйте происхождение каждого пакета обновлений и разрешайте запуск сторонних инструментов управления обновлениями только из доверенных источников;
• отслеживайте скрытую вредоносную активность на конечных устройствах, например с помощью Kaspersky EDR Expert. Решение сопоставляет подозрительные события, которые по отдельности могут выглядеть как обычная системная активность. Например, загрузка кода подписанной программой через изменённый конфигурационный файл, подключение системного процесса Windows к внешним серверам, вмешательство в работу механизмов антивирусного сканирования;
• используйте решения для защиты от целевых атак, позволяющие контролировать сетевой трафик, например Kaspersky Anti Targeted Attack. Платформа способна обнаруживать редкие зашифрованные соединения с неизвестными внешними серверами, в том числе скрытыми за сетями доставки контента. Это помогает отслеживать активность вредоносного ПО, которое может делать перерывы между соединениями с управляющим сервером на несколько часов или даже дней;
• обеспечить централизованное хранение журналов событий, например с помощью SIEM-платформы Kaspersky Unified Monitoring and Analysis Platform. В ходе описанной атаки NetamLoader удалял файлы кеша, журналы использования .NET и отдельные записи из журналов компонента обновления системы. Централизованный сбор данных позволяет сохранять цифровые следы, которые пытаются уничтожить злоумышленники, и получать оповещения о подозрительных пропусках в локальных журналах.