رصد فريق البحث والتحليل العالمي (GReAT) بشركة كاسبرسكي هجوماً سيبرانياً يستهدف إصداراً معدلاً من نظام التشغيل «ويندوز 10»، تستخدمه مؤسسات وهيئات حكومية في إحدى الدول الآسيوية، وذلك من خلال إطار عمل خبيث جديد يحمل اسم NetamLoader، لم يسبق رصده، ويتيح للمهاجمين تحميل وتشغيل نصوص برمجية إضافية مع إخفاء نشاطهم.
وأوضحت كاسبرسكي، في بيان صادر اليوم 2 نوفمبر 2026، أن فريقها تمكن من تحديد إحدى الجهات المتضررة من الهجوم عبر شبكة مراقبة التهديدات السيبرانية، دون التوصل إلى هوية مجموعة التهديدات المسؤولة عنه.
وصُممت البرمجية الخبيثة خصيصاً لاستهداف إصدار نظام التشغيل المذكور، حيث تنفذ مجموعة من الإجراءات لإخفاء آثارها، من بينها حذف مدخلات محددة من سجلات مكون تحديث النظام.
استغلال أدوات شرعية لتنفيذ الهجوم
وبدأت كاسبرسكي التحقيق في الهجوم خلال النصف الأول من عام 2026، بعد اكتشاف ملف إعدادات مشبوه داخل أرشيف محفوظ في مجلد تحديثات ويندوز.
وضم المجلد في معظمه برامج ومكونات شرعية، من بينها مكونات تابعة لأداة إدارة التحديثات الخارجية Patch My PC، إلى جانب وحدة برمجية تحمل توقيعاً موثقاً من مايكروسوفت. إلا أن المهاجمين استخدموا ملفات داعمة معدلة لإجبار هذه المكونات على تحميل تعليمات خبيثة.
وأشارت الشركة إلى أن موقع الأرشيف ومحتوياته يرجحان احتمال تنفيذ الهجوم عبر سلسلة توريد البرمجيات، من خلال استغلال عمليات تحميل البرامج أو تحديثها للوصول إلى الأجهزة المستهدفة.
ومع ذلك، لم يتمكن الباحثون من تحديد كيفية وصول الأرشيف إلى جهاز الضحية، كما لم تتوصل نتائج التحقيق إلى ما يشير إلى اختراق أداة Patch My PC أو أنظمة توزيعها.
NetamLoader يستخدم تقنيات متقدمة لإخفاء نشاطه
ويعتمد إطار العمل الخبيث NetamLoader على استخراج محتواه عبر طبقات متعددة من التشفير والضغط والترميز، قبل تحويل مسار التنفيذ إلى عملية شرعية داخل نظام ويندوز، بما يقلل فرص تتبع ارتباطه بالبرمجية الأصلية.
كما يتدخل الإطار في وظائف الفحص الخاصة ببرامج مكافحة البرمجيات الخبيثة، ويحذف ملفات قد تساعد المحققين على إعادة بناء تفاصيل الهجوم.
وبعد تفعيله، يتصل NetamLoader بخادم يتحكم فيه المهاجمون لاستقبال تعليمات إضافية وتحديث إعداداته. ووفقاً لتحليل كاسبرسكي، تتضمن الإعدادات التي فحصها الباحثون فترة تأخير تتراوح بين 20 و40 دقيقة قبل إجراء الاتصال الأول.
وفي حال عدم تلقي رد واضح من الخادم، تنتظر البرمجية فترة تتراوح بين 22 و28 ساعة قبل إعادة محاولة الاتصال، وهي آلية تهدف إلى تقليل نشاطها على الشبكة خلال فترات المراقبة القصيرة، بما يصعب اكتشافها وتحليلها.
كاسبرسكي: تأمين أنظمة التشغيل يتطلب حماية منظومة التحديث والصيانة
وقال سيرجي لوشكين، رئيس مركز أبحاث فريق البحث والتحليل العالمي (GReAT) لمنطقتي آسيا والمحيط الهادئ والشرق الأوسط وتركيا وإفريقيا لدى كاسبرسكي، إن السيادة التكنولوجية أصبحت أولوية رئيسية لدى العديد من الحكومات، وتمثل أنظمة التشغيل غالباً الخطوة الأولى لتحقيقها.
وأضاف أن امتلاك منصة تكنولوجية خاصة يمنح الجهات قدراً أكبر من التحكم، لكنه يتطلب في الوقت نفسه تأمين المنظومة المتكاملة، بدءاً من قنوات التحديث وصولاً إلى أدوات الصيانة المستخدمة، مشيراً إلى أن بناء منظومة ناضجة وآمنة يحتاج إلى وقت.
وأوضح أن الواقعة تؤكد أهمية فحص الترابط بين مكونات الأنظمة المختلفة، بدلاً من الاكتفاء بالتحقق من شرعية كل برنامج بصورة منفصلة.
وحددت منتجات كاسبرسكي التهديد باستخدام المسميات التالية: HEUR:Trojan.MSIL.NetamLoader.gen وTrojan.MSIL.Zapchast وTrojan.Script.Agent.
كما أتاحت الشركة التقرير التقني الكامل، متضمناً مؤشرات الاختراق، عبر موقع Securelist، واستعرض فريق GReAT نتائج التحقيق خلال قمة محللي الأمن 2026 في مدينة بالي.
توصيات كاسبرسكي لتعزيز الحماية من الهجمات السيبرانية
وقدمت كاسبرسكي مجموعة من التوصيات لمساعدة المؤسسات على مواجهة التهديدات المشابهة، أبرزها الاستفادة من خدمات استخبارات التهديدات Kaspersky Threat Intelligence، للوصول إلى أحدث بيانات التهديدات ومؤشرات الاختراق وتقارير التحقيقات السيبرانية.
وشملت التوصيات أيضاً تدقيق قنوات تحديث البرمجيات، ومراقبة مجلدات التحديث بحثاً عن الملفات التنفيذية أو ملفات الإعدادات غير المعروفة، والتحقق من مصادر حزم التحديث، وقصر تشغيل أدوات الإدارة الخارجية على المواقع المعتمدة.
كما أوصت باستخدام Kaspersky Next EDR Expert لرصد السلوكيات المشبوهة على الأجهزة، ومنصة Kaspersky Anti Targeted Attack لمراقبة حركة مرور البيانات واكتشاف الاتصالات غير المعروفة بالخوادم الخارجية.
وأكدت أهمية تخزين السجلات خارج الأجهزة الطرفية من خلال حل Kaspersky SIEM، للحفاظ على الأدلة الرقمية التي قد تحاول البرمجيات الخبيثة حذفها، وضمان إمكانية تتبع الأنشطة المشبوهة وتحليلها.
