• الرئيسية
• تكنولوجيا

كشفت شركة كاسبرسكي عن هجوم سيبراني جديد استهدف نسخة معدلة من نظام التشغيل «ويندوز 10»، تستخدمها مؤسسات وجهات حكومية في إحدى الدول الآسيوية، من خلال برمجية خبيثة لم تُرصد من قبل، تحمل اسم NetamLoader، وتستطيع تشغيل تعليمات إضافية وإخفاء آثار نشاطها داخل الأجهزة المصابة.

ورصد فريق البحث والتحليل العالمي (GReAT) التابع لكاسبرسكي الهجوم باستخدام شبكة مراقبة التهديدات السيبرانية، حيث تمكن من تحديد إحدى الجهات المتضررة، دون التوصل إلى أدلة تسمح بنسب العملية إلى مجموعة اختراق معروفة.

كاسبرسكي ترصد برمجية خبيثة جديدة تستهدف ويندوز 10

أوضحت كاسبرسكي أن برمجية NetamLoader صُممت خصيصًا لاستهداف الإصدار المعدل من نظام ويندوز 10، مع قدرتها على تنفيذ سلسلة من الإجراءات لإخفاء نشاطها، من بينها حذف مدخلات محددة من سجلات مكون تحديث النظام.

وبدأت التحقيقات خلال النصف الأول من عام 2026، عندما اكتشف الباحثون ملف إعدادات مشبوهًا داخل أرشيف موجود في مجلد تحديثات ويندوز.

وتبين أن معظم الملفات الموجودة في المجلد كانت مكونات برمجية مشروعة، بينها أجزاء من أداة إدارة التحديثات Patch My PC، ووحدة برمجية تحمل توقيعًا رقميًا من مايكروسوفت.

كيف استغل المهاجمون البرامج الشرعية لتنفيذ الهجوم؟

اعتمد المهاجمون على تعديل ملفات داعمة بهدف دفع برامج شرعية إلى تحميل تعليمات برمجية خبيثة، ما ساعد على تمرير الهجوم داخل بيئة تبدو طبيعية.

وأشارت كاسبرسكي إلى أن موقع الأرشيف ومحتوياته يثيران احتمالية وقوع هجوم عبر سلسلة توريد البرمجيات، من خلال استغلال عمليات تحميل البرامج وتحديثها للوصول إلى الأجهزة المستهدفة.

ومع ذلك، لم يتمكن الباحثون من تحديد كيفية وصول الأرشيف إلى جهاز الضحية، كما لم تظهر النتائج أدلة على اختراق أداة Patch My PC أو أنظمة توزيعها.

NetamLoader تستخدم التشفير لإخفاء نشاطها

كشف التحليل التقني أن البرمجية الخبيثة تعتمد على طبقات متعددة من التشفير والضغط والترميز لاستخراج محتواها الضار.

وبعد تشغيلها، تنقل مسار التنفيذ إلى عملية شرعية داخل نظام ويندوز، ما يزيد صعوبة اكتشاف ارتباط النشاط الخبيث بالملف الأصلي.

كما تتدخل NetamLoader في بعض وظائف الفحص المستخدمة ببرامج مكافحة البرمجيات الخبيثة، وتحذف ملفات وسجلات قد تساعد المحققين على إعادة بناء تفاصيل الهجوم.

تأخير الاتصالات بالخوادم لإرباك أنظمة المراقبة

بمجرد تفعيل NetamLoader، تتصل البرمجية بخادم يتحكم فيه المهاجمون لاستقبال تعليمات إضافية وتحديث إعداداتها.

وأظهر التكوين الذي فحصه الباحثون أن البرمجية تنتظر ما بين 20 و40 دقيقة قبل إجراء الاتصال الأول.

وفي حالة عدم الحصول على استجابة واضحة من الخادم، تؤجل محاولة الاتصال التالية لمدة تتراوح بين 22 و28 ساعة.

ويهدف هذا الأسلوب إلى تقليل النشاط الظاهر على الشبكة خلال فترات المراقبة القصيرة، بما يجعل رصد الهجوم وتحليله أكثر صعوبة.

كاسبرسكي تحذر من مخاطر الاعتماد على شرعية البرامج وحدها

قال سيرجي لوشكين، رئيس مركز أبحاث فريق GReAT لمنطقة آسيا والمحيط الهادئ والشرق الأوسط وتركيا وإفريقيا، إن السيادة التكنولوجية أصبحت أولوية لدى حكومات عديدة، وتمثل أنظمة التشغيل إحدى الخطوات الأساسية لتحقيقها.

وأوضح أن امتلاك منصة تشغيل خاصة يمنح الجهات سيطرة أكبر، لكنه يفرض ضرورة تأمين جميع مكونات المنظومة، بما يشمل قنوات التحديث وأدوات الصيانة والبرمجيات المرتبطة بها.

وشدد على أهمية فحص العلاقات بين المكونات البرمجية المختلفة، وعدم الاكتفاء بالتأكد من أن كل برنامج يحمل صفة الشرعية بصورة منفردة.

كاسبرسكي تحدد مؤشرات اكتشاف الهجوم

أعلنت الشركة أن منتجاتها تمكنت من اكتشاف التهديد تحت مسميات تعريفية تشمل HEUR.MSIL.NetamLoader.gen وTrojan.MSIL.Zapchast وTrojan.Script.Agent.

وأتاحت كاسبرسكي التقرير التقني الكامل ومؤشرات الاختراق عبر موقع Securelist، لمساعدة المتخصصين على التعرف على آليات الهجوم وتحليل آثاره.

5 توصيات للحماية من الهجمات السيبرانية المشابهة

أوصت كاسبرسكي المؤسسات باستخدام خدمات استخبارات التهديدات Kaspersky Threat Intelligence للحصول على أحدث بيانات المخاطر ومؤشرات الاختراق والتقارير التحليلية، بما يساعد فرق الأمن على فحص الملفات المشبوهة قبل تشغيلها داخل بيئات العمل.

كما شددت على ضرورة مراجعة قنوات تحديث البرمجيات، ومراقبة مجلدات تحديث ويندوز بحثًا عن الملفات التنفيذية أو ملفات الإعدادات غير المعروفة، والتحقق من مصادر حزم التحديث، مع قصر تشغيل أدوات الإدارة الخارجية على المواقع المعتمدة.

وتضمنت التوصيات استخدام Kaspersky Next EDR Expert لرصد السلوكيات المشبوهة على الأجهزة، مثل تحميل برامج موقعة رقميًا لتعليمات خبيثة أو إجراء اتصالات غير معتادة بالخوادم الخارجية أو العبث بآليات فحص البرمجيات الضارة.

ودعت الشركة إلى مراقبة حركة البيانات عبر الشبكات باستخدام منصة Kaspersky Anti Targeted Attack، التي تساعد على اكتشاف الاتصالات المشفرة غير المعروفة، بما فيها الاتصالات المتخفية خلف شبكات توصيل المحتوى.

وأكدت كذلك أهمية تخزين السجلات الأمنية مركزيًا وخارج الأجهزة الطرفية باستخدام Kaspersky SIEM، للحفاظ على الأدلة التي قد تحاول البرمجيات الخبيثة حذفها، ومنها ملفات ذاكرة التخزين المؤقت وسجلات استخدام .NET وسجلات تحديث النظام.

عرض نتائج التحقيق خلال قمة محللي الأمن 2026

استعرض فريق البحث والتحليل العالمي في كاسبرسكي نتائج التحقيق بشأن هجوم NetamLoader خلال فعاليات قمة محللي الأمن لعام 2026، التي أقيمت في مدينة بالي.

وسلطت النتائج الضوء على مخاطر استغلال المكونات البرمجية الشرعية في تنفيذ الهجمات، وأهمية مراقبة عمليات التحديث والصيانة والتفاعل بين البرامج داخل الأنظمة الحكومية والمؤسسية.