Вредонос маскируется под обновления Windows в атаке на госсектор Азии

Неизвестная группировка применила вредоносный инструмент NetamLoader против единичной цели в азиатском регионе. Кампания примечательна тем, что злоумышленники мимикрировали под штатные процессы операционной системы и не использовали традиционные вредоносные исполняемые файлы.

Вредоносный код был спрятан в CAB-архиве внутри служебного каталога SoftwareDistribution, отвечающего за хранение обновлений Windows. Для запуска использовалась модифицированная конфигурация среды .NET и легальный софт Patch My PC. Наличие специализированного агента обновлений CmitUpdateAgent указывает на то, что целью была особая сборка ОС, созданная для государственных структур.

Цепочка заражения не опиралась на классические вирусы. NetamLoader загружал скрытое содержимое через файлы ресурсов, выполнял операции с помощью XAML и переносил код в системный процесс dllhost.exe, используя COM-десериализацию. Для остаточного скрытия активности злоумышленники отключали проверки антивирусного сканера (AMSI), подменяя указатели методов и принудительно возвращая системе результат «чисто».

После внедрения вредонос собирал данные о конфигурации жертвы и сетевых настройках прокси, выдерживая длительные паузы перед подключением к управляющему серверу. Связь шифровалась по алгоритму AES-128-CBC с аутентификацией HMAC-SHA256, а управляющие команды поступали с домена openaigpt4v[.]com. Лаборатория Касперского не подтверждает связь домена с OpenAI, а также не атрибутирует атаку какой-либо известной APT-группировке.

Скрытая угроза в цепочке поставок госПО

Хотя зафиксирована лишь одна жертва, метод атаки вызывает особую тревогу в контексте импортозамещения. В российской практике использование специализированных сборок Windows 10 в госсекторе и на объектах КИИ всё еще встречается на устаревших или изолированных участках инфраструктуры, где переход на отечественные ОС произошёл не полностью. Если CAB-архив действительно попал на машину через компрометацию на этапе сборки или доставки обновлений, это подрывает доверие к встроенным механизмам защиты. Подобный сценарий опасен для любых ведомственных систем, полагающихся на закрытые каналы поставки ПО без дополнительного контроля целостности на стороне потребителя.

Действия для защиты от скрытых загрузчиков

Для снижения риска рекомендуется усилить контроль за содержимым каталога SoftwareDistribution и не полагаться исключительно на штатные журналы Windows Update. Средствам защиты конечных точек (EDR) необходимо выявлять аномальные вызовы .NET, особенно связанные с нестандартными конфигурациями AppDomainManager и подозрительной загрузкой ресурсов. Полезно внедрить строгую верификацию цифровых подписей для всех компонентов, попадающих в систему под видом обновлений, даже если они ссылаются на библиотеки Microsoft.