كاسبرسكي ترصد NetamLoader.. سلاحاً خفياً لاختراق أنظمة ويندوز الحكومية

كتب حاتم محمد

كشفت شركة كاسبرسكي عن هجوم سيبراني متطور يستهدف إصداراً معدلاً ومخصصاً من نظام التشغيل «ويندوز 10»، تستخدمه مؤسسات وهيئات حكومية في إحدى الدول الآسيوية، وذلك بعد رصد إطار عمل برمجي خبيث جديد يحمل اسم NetamLoader، قادر على تحميل وتشغيل تعليمات برمجية إضافية وإخفاء آثاره داخل الأنظمة المستهدفة.

وأوضح فريق البحث والتحليل العالمي (GReAT) لدى كاسبرسكي أن المهاجمين اعتمدوا على مكونات برمجية شرعية، جرى التلاعب بطريقة تشغيلها لتحميل تعليمات خبيثة، بما يسمح بتنفيذ الهجوم دون إثارة الشكوك بسهولة، فيما لم تنسب الشركة العملية إلى أي مجموعة تهديدات سيبرانية معروفة حتى الآن.

 NetamLoader.. برمجية خبيثة تستهدف أنظمة حكومية

وأشارت نتائج التحقيق إلى أن إطار NetamLoader طُور خصيصاً لاستهداف نظام التشغيل المعدل، ويتضمن آليات متعددة لإخفاء نشاطه، من بينها حذف مدخلات محددة من سجلات مكون تحديث ويندوز، والتدخل في وظائف الفحص التي تستخدمها برامج مكافحة البرمجيات الخبيثة، إلى جانب إزالة ملفات قد تساعد المحققين في إعادة بناء تسلسل الهجوم.

وتمكنت كاسبرسكي من تحديد إحدى الجهات المتضررة بفضل شبكتها لمراقبة التهديدات السيبرانية، فيما أظهرت التحليلات أن البرمجية تستخدم طبقات متعددة من التشفير والضغط والترميز لاستخراج مكوناتها الخبيثة، قبل تحويل مسار التنفيذ إلى عملية شرعية داخل نظام ويندوز، بهدف إخفاء ارتباط النشاط بالبرمجية الأصلية.

 شبهة هجوم عبر سلسلة توريد البرمجيات

وبدأت عملية التحقيق خلال النصف الأول من عام 2026، بعدما اكتشف باحثو كاسبرسكي ملف إعدادات مشبوهاً داخل أرشيف موجود في مجلد تحديثات ويندوز.

وضمت محتويات الأرشيف برامج ومكونات شرعية، من بينها عناصر تابعة لأداة إدارة التحديثات الخارجية Patch My PC، إلى جانب وحدة برمجية تحمل توقيعاً رقمياً موثقاً من مايكروسوفت، إلا أن المهاجمين استخدموا ملفات داعمة معدلة لإجبار هذه المكونات على تحميل تعليمات خبيثة.

ويرجح موقع الأرشيف وطبيعة محتوياته احتمال تنفيذ الهجوم عبر سلسلة توريد البرمجيات (Software Supply Chain)، من خلال استغلال عمليات تحميل البرامج أو تحديثها للوصول إلى الأجهزة المستهدفة.

ومع ذلك، أكدت نتائج التحقيق عدم التوصل إلى الطريقة التي وصل بها الأرشيف إلى جهاز الضحية، كما لم تظهر أدلة تشير إلى اختراق أداة Patch My PC أو أنظمة توزيعها.

 تأخير الاتصالات لإخفاء النشاط الخبيث

وكشف التحقيق أن إطار NetamLoader يتصل بخادم يتحكم فيه المهاجمون، للحصول على تعليمات إضافية وتحديث إعداداته، لكنه يعتمد على آليات تأخير متعمدة لتقليل فرص اكتشافه.

وتتضمن الإعدادات التي حللها الباحثون فترة انتظار تتراوح بين 20 و40 دقيقة قبل إجراء الاتصال الأول بالخادم، وفي حال عدم تلقي استجابة واضحة، تنتظر البرمجية فترة تتراوح بين 22 و28 ساعة قبل إعادة المحاولة.

وتساعد هذه الآلية على تقليل النشاط الشبكي خلال فترات المراقبة القصيرة، ما يجعل اكتشاف البرمجية وتحليل سلوكها أكثر صعوبة أمام فرق الأمن السيبراني.

 كاسبرسكي: تأمين أنظمة التشغيل يتطلب حماية منظومة التحديثات بالكامل

وقال سيرجي لوشكين، رئيس مركز أبحاث فريق البحث والتحليل العالمي (GReAT) لمنطقتي آسيا والمحيط الهادئ والشرق الأوسط وتركيا وإفريقيا لدى كاسبرسكي، إن السيادة التكنولوجية أصبحت أولوية رئيسية لدى العديد من الحكومات، وتمثل أنظمة التشغيل غالباً الخطوة الأولى لتحقيقها.

وأضاف أن امتلاك منصة تشغيل خاصة يمنح المؤسسات قدراً أكبر من التحكم، لكنه يتطلب في الوقت نفسه تأمين المنظومة التقنية المتكاملة، بدءاً من قنوات التحديث وصولاً إلى أدوات الصيانة المستخدمة.

وأكد أن الواقعة تكشف أهمية فحص الترابط بين المكونات البرمجية، بدلاً من الاكتفاء بالتحقق من شرعية كل برنامج بصورة منفصلة، خاصة أن المهاجمين يمكنهم استغلال المكونات الموثوقة لتنفيذ أنشطة خبيثة.

 5 إجراءات توصي بها كاسبرسكي لمواجهة الهجمات

وفي إطار الحد من مخاطر الهجمات المشابهة، قدمت كاسبرسكي مجموعة من التوصيات الأمنية للمؤسسات، أبرزها:

1- الاستفادة من استخبارات التهديدات السيبرانية

استخدام خدمات Kaspersky Threat Intelligence للحصول على أحدث بيانات التهديدات ومؤشرات الاختراق والتقارير الفنية، بما يساعد فرق الأمن على تحليل العينات المجهولة ورصد التهديدات قبل وصولها إلى بيئات التشغيل.

2- تدقيق قنوات تحديث البرمجيات

مراقبة مجلدات تحديث الأنظمة بحثاً عن الملفات التنفيذية وملفات الإعدادات غير المعروفة، والتحقق من مصادر حزم التحديث، وقصر تشغيل أدوات الإدارة الخارجية على المواقع المعتمدة.

3- تعزيز مراقبة الأجهزة الطرفية

استخدام حل Kaspersky Next EDR Expert لرصد السلوكيات المشبوهة، مثل تحميل برمجيات موقعة لتعليمات خبيثة، أو اتصال عمليات ويندوز بخوادم خارجية، أو التلاعب بوظائف الفحص الأمني.

4- مراقبة الاتصالات الشبكية

الاستعانة بمنصة Kaspersky Anti Targeted Attack لمراقبة حركة البيانات واكتشاف الاتصالات المشفرة غير المعتادة مع الخوادم المجهولة، وتتبع البرمجيات التي تعتمد على فترات انتظار طويلة بين محاولات الاتصال.

5- الاحتفاظ بالسجلات الأمنية مركزياً

استخدام حل Kaspersky SIEM لتخزين السجلات خارج الأجهزة الطرفية، بما يضمن الاحتفاظ بالأدلة الرقمية حتى في حال محاولة البرمجيات الخبيثة حذف سجلات النظام وملفات الذاكرة المؤقتة وآثار التنفيذ.

 عرض نتائج التحقيق خلال قمة محللي الأمن 2026

واستعرض فريق البحث والتحليل العالمي (GReAT) لدى كاسبرسكي نتائج التحقيق خلال فعاليات قمة محللي الأمن 2026، التي استضافتها مدينة بالي الإندونيسية.

وأكدت الشركة أن منتجاتها الأمنية تمكنت من اكتشاف التهديد باستخدام مجموعة من المسميات التعريفية، تشمل:

 HEUR:Trojan.MSIL.NetamLoader.gen

 Trojan.MSIL.Zapchast

 Trojan.Script.Agent

كما أتاحت الشركة التقرير التقني الكامل، متضمناً مؤشرات الاختراق والتفاصيل الفنية للهجوم، عبر موقع Securelist المتخصص في أبحاث الأمن السيبراني.