كاسبرسكي تكشف هجوماً يستهدف نظام ويندوز مخصصاً للمؤسسات الحكومية في آسيا

رصد فريق البحث والتحليل العالمي (GReAT) في كاسبرسكي هجوماً سيبرانياً يستهدف إصداراً معدلاً ومخصصاً من نظام التشغيل «ويندوز 10»، تستخدمه مؤسسات وهيئات حكومية في إحدى الدول الآسيوية. حيث استخدم المهاجمون مكونات برمجية شرعية لإطلاق NetamLoader، وهو إطار عمل برمجي خبيث لم يرصد في السابق، لديه القدرة على استلام وتشغيل نصوص برمجية إضافية وإخفاء نشاطه.

نجحت كاسبرسكي في تحديد ضحية لذلك الهجوم بفضل شبكتها لمراقبة التهديدات السيبرانية، ولم تنسب الهجوم لأي مجموعة تهديدات معروفة. وقد طُورت البرمجية الخبيثة خصيصاً لاستهداف نظام التشغيل هذا؛ إذ تقوم بخطوات عديدة منها حذف مدخلات معينة من سجلات مكون التحديث الخاص بالنظام نفسه.

انطلقت عملية التحقيق في النصف الأول من عام 2026، حينما اكتشفت كاسبرسكي ملف إعدادات مشبوهاً ضمن أرشيف مخزن في مجلد تحديثات ويندوز. وكانت معظم البرامج المرفقة ضمن المجلد مشروعة، منها مكونات من أداة إدارة التحديثات Patch My PC (التابعة لجهة خارجية) ووحدة برمجية موثقة بتوقيع مايكروسوفت. واستخدم المهاجمون ملفات داعمة معدلة لإجبار هذه البرمجية الشرعية على تحميل تعليمات خبيثة. ويشير موقع ملف الأرشيف ومحتوياته إلى احتمال تنفيذ هجوم عبر سلسلة توريد البرمجيات، حيث يستغل المهاجمون عمليات تحميل البرمجيات أو تحديثها للوصول إلى أهدافهم. ولم يستطع الباحثون اكتشاف طريقة وصول الأرشيف إلى جهاز الضحية، ولا تشير النتائج المتوفرة إلى اختراق أداة Patch My PC أو أنظمة توزيعها.

يعمل إطار عمل NetamLoader على استخراج محتواه الخبيث عبر طبقات متعددة من التشفير، والضغط، والترميز. وبعد ذلك، يحول مسار التنفيذ إلى عملية شرعية في نظام ويندوز، مما يحد من القدرة على تتبع صلته بالبرمجية الأصلية. كما يتدخل إطار العمل الخبيث في وظائف الفحص في برامج مكافحة البرمجيات الخبيثة، ويحذف ملفات يمكنها مساعدة المحققين في إعادة تشكيل مسار الهجوم.

ويتصل إطار العمل الخبيث NetamLoader بمجرد تفعيله مع خادم يتحكم به المهاجمون لاستلام تعليمات إضافية وتغييرات الإعدادات. وتضمن تكوين الإعدادات الذي حلله الباحثون تأخيراً زمنياً يتفاوت بين 20 و40 دقيقة قبل إجراء الاتصال. وإذا لم تستلم البرمجية الخبيثة رداً واضحاً من الخادم، فإنّها تنتظر فترة تتفاوت بين 22 و28 ساعة قبل محاولة الاتصال مجدداً. ومن شأن هذا التأخير المتعمد ضمان نشاط ضئيل للغاية على الشبكة خلال فترات المراقبة القصيرة، مما يصعب عملية التحليل.

يعلق على هذه المسألة سيرجي لوشكين، رئيس مركز أبحاث فريق البحث والتحليل العالمي (GReAT) لمنطقتي آسيا والمحيط الهادئ والشرق الأوسط وتركيا وإفريقيا لدى كاسبرسكي: «باتت السيادة التكنولوجية أولوية رئيسية لدى حكومات عديدة، وتمثل أنظمة التشغيل في الغالب الخطوة الأولى لتحقيق ذلك. ولا شك أنّك تحظى بالتحكم عند امتلاك منصتك الخاصة، غير أنّ ذلك يتطلب أيضاً تأمين المنظومة المتكاملة برمتها؛ بدءاً من قنوات التحديث ووصولاً إلى أدوات الصيانة المستخدمة، وبناء منظومة كهذه يستلزم وقتاً حتى تصبح ناضجة حقاً. وتبرز هذه الواقعة ضرورة قيام المدافعين بفحص طبيعة الترابط بين المكونات، بدلاً من حصر التحقق في معرفة شرعية كل برمجية على حدة.»

اكتشفت منتجات كاسبرسكي هذا التهديد وأطلقت عليه المسميات التعريفية التالية: HEUR:Trojan.MSIL.NetamLoader.gen، وTrojan.MSIL.Zapchast، وTrojan.Script.Agent. ويمكنكم الاطلاع على التقرير التقني الكامل، الذي يحتوي على مؤشرات الاختراق، عبر زيارة موقع Securelist.

وللحماية من التهديدات السيبرانية المشابهة، توصي كاسبرسكي باتباع الخطوات التالية:

    استعن بخدمات استخبارات التهديدات (Kaspersky Threat Intelligence) من كاسبرسكي للوصول إلى أحدث بيانات التهديدات، ومؤشرات الاختراق القائمة على السلوك، وتقارير مفصلة عن عملية تتبع التهديدات السيبرانية. وقد جرى جمع هذه الموارد ودعمها بخبرات فرق البحث في كاسبرسكي، ومنها فريق GReAT، مما يتيح للمحللين الاستفادة من بيانات التحقيقات الحديثة، ومنها هذا التحقيق، وفحص العينات المجهولة قبل وصولها إلى بيئات الإنتاج.

    احرص على فحص وتدقيق قنوات تحديث البرمجيات نظراً لأن المهاجمين وضعوا حزمتهم الخبيثة داخل المجلد الذي يستخدمه نظام ويندوز لتحميل التحديثات. وراقب هذه المجلدات بحثاً عن أي ملفات تنفيذية أو ملفات تكوين مجهولة، وتحقق من مصدر حزمة كل تحديث، والسماح لأدوات إدارة الجهات الخارجية بالعمل من المواقع المعتمدة فقط.

    استخدم منتج Kaspersky Next EDR Expert لاكتشاف السلوكيات الخفية في النقاط الطرفية. حيث يربط هذا الحل بين الأنشطة المشبوهة مثل قيام برمجية موقّعة بتحميل نص برمجي عبر ملف تكوين معدل، أو اتصال عملية في نظام ويندوز بخوادم خارجية، أو التلاعب بفحص برمجية مكافحة البرمجيات الخبيثة، وهي أنشطة قد تبدو منفردة كأنها أنشطة اعتيادية للنظام.

    راقب حركة مرور البيانات عبر الشبكة باستخدام منصة مكافحة الهجمات الموجهة (Kaspersky Anti Targeted Attack). وترصد هذه المنصة الاتصالات المشفرة غير المعروفة مع خوادم مجهولة، ومن ضمنها الاتصالات التي تتخفى وراء شبكات توصيل المحتوى، وتساعد الفرق على تتبع البرمجيات الخبيثة التي تنتظر ساعات أو أياماً بين عمليات التحقق.

    احرص على تخزين السجلات خارج النقاط الطرفية باستخدام حل Kaspersky SIEM، وذلك لأن إطار العمل الخبيث NetamLoader حذف ملفات ذاكرة التخزين المؤقت للنظام، وسجلات استخدام .NET، ومدخلات من سجلات مكون التحديث. وذلك لأن جمع السجلات بشكل مركزي يؤدي إلى حفظ الأدلة التي يحاول المهاجمون مسحها، ويحول الثغرات الأمنية غير المفهومة في السجلات المحلية إلى تنبيهات أمنية.

استعرض فريق البحث والتحليل العالمي (GReAT) في كاسبرسكي نتائج البحث خلال فعاليات قمة محللي الأمن 2026 في مدينة بالي.