SecAtor

Исследователи Лаборатории Касперского задетектили активность неизвестной APT, которая использует NetamLoader для атак на операционную систему Windows 10, адаптированную для правительств стран Азии. Несколько месяцев назад ЛК удалось выявить чрезвычайно сложную цепочку заражения и запутанную структуру загрузки сборок .NET, построенную на разметке XAML. Выявленные артефакты убедительно указывают на атаку на цепочку поставок, нацеленную на пользовательскую сборку Windows, используемую исключительно государственными учреждениями в Азии. Вредоносная структура получила название NetamLoader. На основе телеметрических данных KSN, ЛК обнаружила одну жертву в Азии. Кроме того, вредоносное ПО было разработано для атаки на специально модифицированную версию Windows, предназначенную только для госучреждений. Образец был обнаружен в первой половине 2026 года, когда KSN выдала предупреждение об обнаружении вредоносного ПО для файла .config, использующего внедрение AppDomainManager для загрузки произвольных сборок .NET. Файл был упакован в CAB-архив, расположенный в каталоге, где хранятся пакеты обновлений Windows. Первоначальный анализ содержимого CAB не выявил вредоносного кода. Большинство исполняемых файлов являлись легитимными компонентами стороннего инструмента управления обновлениями Patch My PC, и даже сборки .NET, используемые для внедрения, были подписаны Microsoft. Однако последующее повторное изучение исходного файла .config и полного процесса загрузки позволило выявить цепочку заражения и все представленные в новом отчете артефакты. Вместе с тем, после анализа TTPs, сходства кода и инфраструктуры ЛК пока не удалось связать атаку ни с одной известной APT-группой. Детальный технический разбор и IOCs - в отчете.