كشف باحثو الأمن السيبراني عن تفاصيل حملة اختراق شديدة التعقيد استهدفت مؤسسات حكومية في آسيا عبر سلسلة إصابة متعددة المراحل تعتمد على إطار تحميل برمجيات خبيثة غير موثق سابقًا يحمل اسم NetamLoader، في عملية يُعتقد أنها قد تكون مرتبطة بهجوم على سلسلة التوريد الرقمية، مستهدفة إصدارًا مخصصًا من نظام التشغيل ويندوز 10 يُستخدم حصريًا من قبل جهات حكومية.
ووفقًا لتحليل نشرته شركة كاسبرسكي، فإن النشاط الخبيث رُصد خلال النصف الأول من عام 2026، واستهدف بيئة تشغيل حكومية متخصصة، معتمداً على تقنيات متقدمة لتنفيذ التعليمات البرمجية داخل التطبيقات الشرعية وإخفاء النشاط الضار عن أدوات الحماية التقليدية.
ورغم خطورة العملية، لم يتم حتى الآن ربطها بأي مجموعة تهديد معروفة، كما لم يتضح ما إذا كان الهجوم قد طال أكثر من نظام واحد أو أسفر عن سرقة معلومات حساسة من الجهات المستهدفة.
هجوم محتمل على سلسلة التوريد الرقمية
تشير المؤشرات الفنية التي رصدها الخبراء إلى أن المهاجمين ربما تمكنوا من استغلال أحد الموردين أو مزودي الخدمات الموثوقين للوصول إلى الجهات الحكومية المستهدفة، وهو الأسلوب المعروف باسم هجمات سلسلة التوريد.
وقد عُثر على العينة الخبيثة داخل ملف أرشيف من نوع CAB وُضع في مجلد مخصص لتحديثات نظام تشغيل ويندوز. وتضمنت الحزمة سبعة ملفات، أربعة منها ملفات أصلية شرعية تعود إلى برنامج إدارة الأجهزة والنقاط الطرفية Patch My PC، بينما استُخدمت الملفات الأخرى كوسيلة لتفعيل سلسلة العدوى المعقدة.
ويُعد هذا النمط من الهجمات من أكثر الأساليب تطورًا وخطورة، إذ يعتمد على استغلال الثقة الممنوحة للبرامج والمكونات الرسمية بدلاً من محاولة تجاوز أنظمة الحماية بشكل مباشر، وهو ما يزيد من فرص نجاح الاختراق دون إثارة الشبهات.
تقنية حقن .NET تتجاوز آليات الرصد التقليدية
اعتمدت البرمجية الخبيثة على أسلوب متقدم يُعرف باسم AppDomainManager Injection، وهي تقنية هجومية تستغل آلية إدارة النطاقات داخل منصة .NET Framework من أجل تحميل تعليمات برمجية غير مصرح بها عند تشغيل التطبيق المستهدف.
وبصورة مبسطة، يجري التلاعب بعملية تهيئة التطبيق بحيث يتم تشغيل مكونات خبيثة داخل عملية شرعية موثوقة. وتؤدي هذه الآلية عمليًا وظيفة مشابهة لتقنية DLL Sideloading الشهيرة، حيث يتم تنفيذ الشيفرة الضارة من داخل تطبيق قانوني بدلًا من تشغيلها بصورة مستقلة.
بدأت العملية عند تشغيل ملف شرعي يدعى PatchMyPC-ScriptRunner.exe، والذي قام بقراءة ملف إعدادات مخصص أدى بدوره إلى تحميل مكتبة أخرى. وبعدها انتقلت سلسلة التشغيل إلى ملفات متعددة مرتبطة ببعضها البعض، ليتم في نهاية المطاف فك تشفير حمولات مخفية ومتعددة الطبقات داخل ملفات تبدو للوهلة الأولى غير ضارة.
ولجأ المهاجمون إلى استخدام أساليب متعددة تشمل الضغط والتشفير والترميز المتكرر للحمولات الخبيثة، الأمر الذي يعقد عملية التحليل الجنائي ويصعب اكتشاف البرمجية من قبل حلول الحماية التقليدية.
سلسلة إصابة متعددة الطبقات وقدرات متقدمة للتخفي
أظهرت الدراسة أن الهجوم يمر عبر عدة مراحل متتابعة تحتوي على ملفات XAML ووحدات .NET وبيانات JSON مشفرة تُستخدم لتجميع المكونات النهائية للبرمجية داخل ذاكرة النظام.
ومن بين أبرز الخصائص التي رصدها الباحثون استخدام إحدى الوحدات البرمجية لتجاوز واجهة AMSI المسؤولة عن فحص البرمجيات النصية والحمولات المشبوهة داخل نظام ويندوز، ما يمنح المهاجمين فرصة أكبر للعمل بعيدًا عن أعين برامج الحماية.
كما تتضمن السلسلة وحدة خبيثة مسؤولة عن مسح آثار النشاط بعد الانتهاء من عملية التثبيت، حيث تقوم بحذف الملفات المستخرجة من الأرشيف الأصلي وإزالة سجلات استخدام بيئة CLR التابعة لـ.NET بالإضافة إلى تنظيف ملفات Prefetch الخاصة بنظام ويندوز، في محاولة واضحة لإعاقة جهود التحقيق والتحليل اللاحقة.
وتعمل الحمولة النهائية داخل عملية dllhost.exe الشرعية، ثم تجمع معلومات عن الجهاز من سجل ويندوز، وتتحقق من بيئة التشغيل قبل التواصل مع خادم القيادة والسيطرة للحصول على أوامر إضافية وتنفيذها في بيئة معزولة.
استهداف أنظمة حكومية خاصة وسط تحولات جيوسياسية
تشير بيانات القياس والتحليل التي جمعتها كاسبرسكي إلى وجود ضحية مؤكدة واحدة داخل آسيا. كما لفت الباحثون إلى أن البرمجية صممت لاستهداف نسخة ويندوز 10 مخصصة للاستخدام الحكومي فقط.
ورغم عدم الإفصاح عن الدولة المستهدفة، فإن المؤشرات التقنية دفعت الباحثين إلى ترجيح احتمال ارتباط العملية بالصين، خصوصًا أن مايكروسوفت سبق أن طورت إصدارًا خاصًا يعرف باسم Windows 10 China Government Edition لاستخدامه من قبل الجهات الحكومية والشركات المملوكة للدولة في الصين.
وتأتي هذه التطورات في وقت تشهد فيه الأسواق الحكومية العالمية اتجاهًا متزايدًا نحو بناء منصات تقنية وطنية مستقلة تشمل أنظمة التشغيل وقواعد البيانات والخدمات السحابية والبرمجيات الوسيطة، مدفوعة بمخاوف تتعلق بالأمن القومي والسيادة الرقمية.
ويرى خبراء الأمن السيبراني أن هذا التحول يمنح الدول سيطرة أكبر على تطوير وتشغيل وإدارة البنية التحتية الرقمية الخاصة بها، لكنه في المقابل يضع على عاتقها مسؤولية تأمين منظومات تقنية كاملة ومعقدة تتطلب استثمارات طويلة الأمد وخبرات متخصصة لمواجهة التهديدات المتنامية.
