محققان امنیت سایبری از جزئیات یک زنجیره سرایت (Infection Chain) بسیار پیچیده پرده برداشتند که سازمان‌های دولتی در آسیا را هدف قرار داده است.
این فعالیت که توسط Kaspersky گزارش شده، نسخه‌ی سفارشی‌شده‌ای از ویندوز ۱۰ را هدف قرار داده که منحصراً توسط نهادهای دولتی در آسیا استفاده می‌شود. این حمله شامل به‌کارگیری یک چارچوب (Framework) پیش‌تر مستند نشده برای بارگذاری اسمبلی‌های .NET است که با نام مستعار NetamLoader شناخته می‌شود.
هنوز هیچ عامل تهدید (Threat Actor) یا گروه مشخصی مسئول این حمله شناخته نشده است و مشخص نیست که آیا این نفوذ منجر به سرقت اطلاعات حساسی شده است یا خیر.
جزئیات فنی و روش نفوذ
این بدافزار در قالب یک فایل آرشیو Windows CAB در دایرکتوری مربوط به بسته‌های به‌روزرسانی سیستم‌عامل ویندوز شناسایی شد. گمان می‌رود این عملیات یک حمله زنجیره تأمین (Supply Chain Attack) باشد که در آن مهاجمان با نفوذ به یک تأمین‌کننده مورد اعتماد، به کاربران نهایی دسترسی پیدا کرده‌اند.
بخش فنی این حمله شامل یک فایل “.config” است که از تکنیک تزریق AppDomainManager برای بارگذاری اسمبلی‌های دلخواه .NET استفاده می‌کند. این تکنیک با سوءاستفاده از مکانیزم AppDomainManager در هنگام شروع یک اپلیکیشن .NET، امکان اجرای کد (Code Execution) را فراهم می‌کند. این روش از نظر عملکرد مشابه با DLL sideloading است؛ یعنی اجرای کدهای مخرب در داخل پروسه‌ی یک اپلیکیشن قانونی برای فرار از شناسایی توسط سیستم‌های امنیتی.
فایل‌های موجود در آرشیو شامل ترکیبی از اجزای قانونی نرم‌افزار Patch My PC و فایل‌های مخرب است تا فعالیت‌های خود را پنهان کند.
تحلیل هدف و ابعاد ژئوپلیتیک
اگرچه کشور هدف دقیقاً اعلام نشده، اما شواهد نشان می‌دهد که احتمالاً چین در میان هدف‌ها بوده است، زیرا مایکروسافت نسخه‌ای اختصاصی به نام Windows 10 China Government Edition را برای نهادهای دولتی چین ارائه می‌دهد. این موضوع در حالی مطرح می‌شود که گزارش‌ها حاکی از تلاش برخی نهادهای دولتی برای جایگزینی ویندوز با توزیع‌های لینوکس بومی جهت کاهش وابستگی به فناوری‌های خارجی است.
