Kaspersky нашла вредонос NetamLoader, атакующий госструктуры Азии через сборку Windows 10
Kaspersky раскрыла детали атаки на государственные организации в Азии: злоумышленники использовали ранее не описанную платформу загрузки .NET-сборок NetamLoader, которая работает через подмену механизма AppDomainManager в .NET Framework. Атака нацелена на сборку Windows 10, которую используют только государственные структуры.
Главное в цифрах
- Обнаружено заражённых систем: одна, в Азии
- Период обнаружения: первая половина 2026 года
- Архив содержал семь файлов, четыре из них легитимные компоненты Patch My PC
Компания Kaspersky сообщила, что вредонос был обнаружен в первой половине 2026 года. Он упакован в CAB-архив, который размещён в каталоге C:\Windows\SoftwareDistribution\Download, где хранятся пакеты обновлений Windows. Содержимое архива извлекается в каталог Install. Всего в архиве семь файлов, четыре из них являются легитимными компонентами программы Patch My PC для управления конечными устройствами.
Как работает заражение, Kaspersky описывает как двухэтапный процесс. Файл .config использует внедрение через AppDomainManager, чтобы загрузить произвольные .NET-сборки внутри легитимного приложения. По сути это тот же результат, что и при DLL sideloading: вредоносный код выполняется в процессе доверенной программы и остаётся незаметным.
Масштаб и возможная цель
Телеметрия Kaspersky выявила одну заражённую систему в Азии. Страна не названа, но, по данным исследователей, это, вероятно, Китай: Microsoft выпускает отдельную версию Windows 10 China Government Edition для правительства и госкомпаний. Ранее в августе Bloomberg сообщил, что Министерство государственной безопасности Китая приказало некоторым госорганам отказаться от этой версии в пользу китайских дистрибутивов Linux. По данным агентства, причиной стали опасения по поводу безопасности данных.
Кто стоит за атакой, пока не установлено. Не ясно, затронула ли атака больше одной системы и удалось ли злоумышленникам украсть данные. Предполагается, что атака могла быть связана с цепочкой поставок, однако способ доставки CAB-архива остаётся неизвестным.
Контекст
Kaspersky отмечает, что многие страны сейчас создают собственные базовые программные платформы, включая операционные системы, СУБД и облачные сервисы. Преимущество такого подхода в полном контроле над разработкой и обновлением системы, но и защищать всю экосистему стране приходится самостоятельно.
