{"id":9853,"date":"2026-11-06T21:27:51","date_gmt":"2026-11-06T20:27:51","guid":{"rendered":"https:\/\/sajberinfo.com\/?p=9853"},"modified":"2026-11-06T21:27:51","modified_gmt":"2026-11-06T20:27:51","slug":"netamloader-cilja-azijske-drzavne-institucije","status":"publish","type":"post","link":"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/","title":{"rendered":"NetamLoader cilja azijske dr\u017eavne institucije"},"content":{"rendered":"<p><a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/19\/hakeri-crni-sesiri-epizoda-3\/\" data-internallinksmanager029f6b8e52c=\"2\" title=\"Hakeri: Crni \u0161e\u0161iri (Epizoda 3)\" rel=\"nofollow noopener\" target=\"_blank\">Zlonamjerni akteri<\/a> koji koriste <a href=\"https:\/\/sajberinfo.com\/en\/2021\/09\/26\/malware\/\" data-internallinksmanager029f6b8e52c=\"8\" title=\"Malware\" rel=\"nofollow noopener\" target=\"_blank\">zlonamjerni softver<\/a> <em>NetamLoader<\/em> izveli su napad na lanac snabdijevanja, pri \u010demu su ciljali prilago\u0111ene verzije operativnog sistema <em>Windows<\/em> koje koriste dr\u017eavne institucije u Aziji. Tom prilikom, zlonamjerni k\u00f4d ubacili su u stvarne pakete za a\u017euriranje, \u010dime su nastojali da prikriju njegove tragove i izbjegnu otkrivanje. Kompanija <em>Kaspersky<\/em> <a href=\"https:\/\/securelist.com\/netamloader\/121676\/\" target=\"_blank\" rel=\"noopener\">otkrila je navedenu<\/a> prijetnju po\u010detkom 2026. godine, no jo\u0161 uvijek nije jasno da li je rije\u010d o novoj strategiji neke <a href=\"https:\/\/sajberinfo.com\/en\/2020\/12\/08\/apt-sponzorisani-napadi\/\" data-internallinksmanager029f6b8e52c=\"11\" title=\"APT: Sponzorisani napadi\" rel=\"nofollow noopener\" target=\"_blank\">napredne trajne prijetnje<\/a> (<em>APT<\/em>) ili o ponovnoj upotrebi alata iz ranijih operacija koje podr\u017eava neka dr\u017eava.<\/p>\n<div id=\"attachment_9857\" style=\"width: 1210px\" class=\"wp-caption aligncenter\"><img loading=\"lazy\" decoding=\"async\" aria-describedby=\"caption-attachment-9857\" class=\"size-full wp-image-9857\" src=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/11\/NetamLoader-cilja-azijske-drzavne-institucije.jpg\" alt=\"NetamLoader\" width=\"1200\" height=\"896\" srcset=\"https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/11\/NetamLoader-cilja-azijske-drzavne-institucije.jpg 1200w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/11\/NetamLoader-cilja-azijske-drzavne-institucije-300x224.jpg 300w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/11\/NetamLoader-cilja-azijske-drzavne-institucije-1024x765.jpg 1024w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/11\/NetamLoader-cilja-azijske-drzavne-institucije-768x573.jpg 768w, https:\/\/sajberinfo.com\/wp-content\/uploads\/2026\/11\/NetamLoader-cilja-azijske-drzavne-institucije-16x12.jpg 16w\" sizes=\"auto, (max-width: 1200px) 100vw, 1200px\" \/><p id=\"caption-attachment-9857\" class=\"wp-caption-text\">NetamLoader cilja azijske dr\u017eavne institucije; Source: Nano Banana 2<\/p><\/div>\n\n<div id=\"ez-toc-container\" class=\"ez-toc-v2_0_89 counter-hierarchy ez-toc-counter ez-toc-custom ez-toc-container-direction\">\n<div class=\"ez-toc-title-container\">\n<p class=\"ez-toc-title\" style=\"cursor:inherit\">Sadr\u017eaj<\/p>\n<span class=\"ez-toc-title-toggle\"><a href=\"#\" class=\"ez-toc-pull-right ez-toc-btn ez-toc-btn-xs ez-toc-btn-default ez-toc-toggle\" aria-label=\"Toggle Table of Content\"><span class=\"ez-toc-js-icon-con\"><span class=\"\"><span class=\"eztoc-hide\" style=\"display:none;\">Toggle<\/span><span class=\"ez-toc-icon-toggle-span\"><svg style=\"fill: #ffffff;color:#ffffff\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" class=\"list-377408\" width=\"20px\" height=\"20px\" viewBox=\"0 0 24 24\" fill=\"none\"><path d=\"M6 6H4v2h2V6zm14 0H8v2h12V6zM4 11h2v2H4v-2zm16 0H8v2h12v-2zM4 16h2v2H4v-2zm16 0H8v2h12v-2z\" fill=\"currentColor\"><\/path><\/svg><svg style=\"fill: #ffffff;color:#ffffff\" class=\"arrow-unsorted-368013\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\" width=\"10px\" height=\"10px\" viewBox=\"0 0 24 24\" version=\"1.2\" baseProfile=\"tiny\"><path d=\"M18.2 9.3l-6.2-6.3-6.2 6.3c-.2.2-.3.4-.3.7s.1.5.3.7c.2.2.4.3.7.3h11c.3 0 .5-.1.7-.3.2-.2.3-.5.3-.7s-.1-.5-.3-.7zM5.8 14.7l6.2 6.3 6.2-6.3c.2-.2.3-.5.3-.7s-.1-.5-.3-.7c-.2-.2-.4-.3-.7-.3h-11c-.3 0-.5.1-.7.3-.2.2-.3.5-.3.7s.1.5.3.7z\"\/><\/svg><\/span><\/span><\/span><\/a><\/span><\/div>\n<nav><ul class='ez-toc-list ez-toc-list-level-1 ' ><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-1\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#NETAMLOADER_ZLONAMJERNI_SOFTVER\" >NETAMLOADER ZLONAMJERNI SOFTVER<\/a><ul class='ez-toc-list-level-3' ><li class='ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-2\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#Skrivena_arhitektura_lanca_infekcije\" >Skrivena arhitektura lanca infekcije<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-3\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#Slojevi_desifrovanja_i_mehanizmi_izvrsavanja\" >Slojevi de\u0161ifrovanja i mehanizmi izvr\u0161avanja<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-4\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#Slabljenje_mehanizama_za_otkrivanje\" >Slabljenje mehanizama za otkrivanje<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-3'><a class=\"ez-toc-link ez-toc-heading-5\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#Sifrovani_kanal_za_komandovanje_i_prilagodljiva_komunikacija\" >\u0160ifrovani kanal za komandovanje i prilagodljiva komunikacija<\/a><\/li><\/ul><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-6\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#ZAKLJUCAK\" >ZAKLJU\u010cAK<\/a><\/li><li class='ez-toc-page-1 ez-toc-heading-level-2'><a class=\"ez-toc-link ez-toc-heading-7\" href=\"https:\/\/sajberinfo.com\/en\/2026\/11\/06\/netamloader-cilja-azijske-drzavne-institucije\/#PREPORUKE\" >PREPORUKE<\/a><\/li><\/ul><\/nav><\/div>\n<h2><span class=\"ez-toc-section\" id=\"NETAMLOADER_ZLONAMJERNI_SOFTVER\"><\/span><strong><em>NETAMLOADER<\/em> ZLONAMJERNI SOFTVER<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Po\u010detkom 2026. godine, mre\u017ea za pra\u0107enje prijetnji kompanije <em>Kaspersky<\/em> otkrila je da se zlonamjerni softver <em>NetamLoader<\/em> uvukao u ra\u010dunarske mre\u017ee dr\u017eavnih institucija u Aziji, pri \u010demu su zlonamjerni akteri koristili arhivu predstavljenu kao a\u017euriranje softvera <em>Patch My PC<\/em>. Zlonamjerni k\u00f4d bio je prikriven unutar stvarnih softverskih komponenti, \u010dime su zlonamjerni akteri nastojali da ote\u017eaju njegovo otkrivanje.<\/p>\n<p>Zlonamjerni softver <em>NetamLoader<\/em> \u0161irio se kroz zvani\u010dne kanale za distribuciju softvera, pri \u010demu je prikrivao svoje prisustvo i zaobilazio bezbjednosne provjere. Pored toga, koristio je slo\u017eene metode za prikrivanje i aktiviranje zlonamjernog k\u00f4da, pri \u010demu je brisao tragove aktivnosti i prilago\u0111avao svoje pona\u0161anje radi izbjegavanja otkrivanja tokom bezbjednosnih analiza.<\/p>\n<p>Dodatnu ote\u017eavaju\u0107u okolnost predstavljala je podjela zlonamjernog sadr\u017eaja na <a href=\"https:\/\/sajberinfo.com\/en\/2022\/04\/10\/enkripcija-podataka-funkcionisanje-i-vrste-epizoda-2\/\" data-internallinksmanager029f6b8e52c=\"7\" title=\"Enkripcija podataka: Funkcionisanje i vrste\" rel=\"nofollow noopener\" target=\"_blank\">\u0161ifrovane<\/a> dijelove, \u010dime se ote\u017eavala rekonstrukcija na\u010dina na koji se napad odvijao. Iza prikrivanja aktivnosti stajala je i infrastruktura zasnovana na <em>Cloudflare<\/em> servisima, dok je na\u010din izvr\u0161avanja zlonamjernog k\u00f4da ukazivao na nastojanje da se izbjegnu sistemi za za\u0161titu ra\u010dunara i mre\u017ea.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Skrivena_arhitektura_lanca_infekcije\"><\/span><strong>Skrivena arhitektura lanca infekcije<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p><em>CAB<\/em> arhiva koja sadr\u017ei zlonamjerne komponente zlonamjernog softvera <em>NetamLoader<\/em> predstavlja se kao legitimno a\u017euriranje softvera <em>Patch My PC<\/em>, \u010dime se sakriva unutar pouzdanih kanala za distribuciju softvera. Iako je ve\u0107ina datoteka u paketu autenti\u010dna, \u0161to obuhvata <em>.NET<\/em> sklopove sa digitalnim potpisom kompanije <em>Microsoft<\/em> i alate tre\u0107ih strana za upravljanje ispravkama, jedna datoteka \u2013 <em>Resources.resx<\/em> \u2013 sadr\u017ei skriveni zlonamjerni k\u00f4d.<\/p>\n<p>Navedeni pristup iskori\u0161tava ugled poznatih proizvo\u0111a\u010da softvera radi zaobila\u017eenja po\u010detnih bezbjednosnih provjera. Zahvaljuju\u0107i tome, \u010dak i napredni bezbjednosni sistemi mogu previdjeti infekciju sve dok detaljnija analiza ne otkrije nepravilnosti.<\/p>\n<p>Udaljeno izvr\u0161avanje komandi zapo\u010dinje ubacivanjem komponente <em>AppDomainManager<\/em>, \u010dime se preuzima kontrola nad podrazumijevanim mehanizmom za u\u010ditavanje u .<em>NET<\/em> okru\u017eenju i omogu\u0107ava izvr\u0161avanje proizvoljnih sklopova bez aktiviranja uobi\u010dajenih alata za nadzor procesa. Navedena tehnika opona\u0161a odobreno pona\u0161anje aplikacija, jer se oslanja na pouzdane tokove izvr\u0161avanja k\u00f4da, kakvi se, na primjer, koriste prilikom instalacije a\u017euriranja operativnog sistema <em>Windows<\/em>.<\/p>\n<p>Na taj na\u010din zlonamjerni softver <em>NetamLoader<\/em> uspijeva da ostane neprimije\u0107en od strane softvera za otkrivanje i odgovor na prijetnje (eng. <em>Endpoint Detection and Response \u2013 EDR<\/em>), koji se pri prepoznavanju prijetnji oslanjaju na analizu digitalnih potpisa ili heuristi\u010dke metode.<\/p>\n<p>Oslanjanje zlonamjernog softvera na module sa digitalnim potpisom kompanije <em>Microsoft<\/em> dodatno ote\u017eava utvr\u0111ivanje njegovog porijekla i sprovo\u0111enje forenzi\u010dkih istraga. Ugra\u0111ivanjem zlonamjernog sadr\u017eaja u komponente \u010dija je autenti\u010dnost digitalno potvr\u0111ena, zlonamjerni akteri iskori\u0161tavaju povjerenje korisnika u poznati softverski ekosistem.<\/p>\n<p>Podaci iz telemetrije kompanije <em>Kaspersky<\/em> ukazuju na to da je navedeni pristup bio dovoljno uspje\u0161an da infekcija ostane neotkrivena sve dok lanac napada nije razotkriven analizom neuobi\u010dajenog pona\u0161anja procesa koji su se izvr\u0161avali u direktorijumu <em>SoftwareDistribution\\Download<\/em>.<\/p>\n<p>Ubacivanje zlonamjernog softvera <em>NetamLoader<\/em> u procese instalacije a\u017euriranja ukazuje na \u0161iri trend u sajber-operacijama usmjerenim na napade na lanac snabdijevanja softverom. Zlonamjerni akteri sve \u010de\u0161\u0107e zloupotrebljavaju pouzdanu infrastrukturu, poput alata za upravljanje ispravkama i mehanizama za a\u017euriranje operativnih sistema, radi isporuke zlonamjernog sadr\u017eaja koji na prvi pogled djeluje bezazleno.<\/p>\n<p>Navedena strategija ne samo da smanjuje vjerovatno\u0107u pravovremenog otkrivanja napada, ve\u0107 omogu\u0107ava i zadr\u017eavanje prisustva u strogo za\u0161ti\u0107enim okru\u017eenjima, u kojima bi tradicionalni mehanizmi za prepoznavanje zlonamjernog softvera na osnovu njegovih potpisa ina\u010de bili brzo aktivirani.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Slojevi_desifrovanja_i_mehanizmi_izvrsavanja\"><\/span><strong>Slojevi de\u0161ifrovanja i mehanizmi izvr\u0161avanja<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Iskori\u0161tavanje zapo\u010dinje pozivom metode za pretvaranje serijalizovanih podataka u izvorni oblik, koju zlonamjerni softver <em>NetamLoader<\/em> aktivira radi pokretanja napada zasnovanog na zloupotrebi mehanizma za obradu i povezivanje objekata razli\u010ditih tipova.<\/p>\n<p>Navedeni postupak preuzima kontrolu nad obnovom objekata iz serijalizovanih podataka, \u010dime se komponenti za obradu <em>XAML<\/em> sadr\u017eaja omogu\u0107ava da direktno u memoriju ubaci prikriveni sadr\u017eaj (<em>XAML-1<\/em>), bez upisivanja podataka na disk. Ugra\u0111eni binarni objekat unutar <em>XAML-1<\/em> sadr\u017ei vi\u0161e slojeva \u0161ifrovanog sadr\u017eaja, za \u010dije je de\u0161ifrovanje potrebna upotreba klju\u010deva odre\u0111enih za konkretno ra\u010dunarsko okru\u017eenje.<\/p>\n<p>Navedeni klju\u010devi izvode se iz parametara dostupnih tokom izvr\u0161avanja, \u010dime se osigurava da izvr\u0161avanje zavisi od karakteristika konkretnog sistema i ote\u017eava analiza zasnovana na stati\u010dkom pregledu k\u00f4da. <em>SHA-256<\/em> he\u0161 vrijednost argumenata komandne linije na inficiranom ra\u010dunaru koristi se za formiranje <em>AES<\/em> klju\u010da, kojim se de\u0161ifruju naredni slojevi zlonamjernog sadr\u017eaja.<\/p>\n<p>Zlonamjerni softver <em>NetamLoader<\/em> ugra\u0111uje navedenu logiku u <em>XAML-1<\/em>, iz kojeg izdvaja prvih 16 bajtova niza kodiranog pomo\u0107u <em>Base64<\/em> algoritma i koristi ih kao po\u010detni vektor prije primjene <em>AES<\/em> de\u0161ifrovanja, \u010dime se dobija <em>XAML-2<\/em>. Na taj na\u010din, izvr\u0161avanje se mo\u017ee nastaviti samo u procesima \u010dije okru\u017eenje odgovara odre\u0111enim parametrima komandne linije. Time se uvodi dodatna prepreka za otkrivanje u izolovanim testnim okru\u017eenjima i ote\u017eava preuzimanje podataka tokom forenzi\u010dke analize.<\/p>\n<p><em>XAML-2<\/em> se u\u010ditava direktno u memoriju pomo\u0107u sistemske komponente za u\u010ditavanje i obradu <em>XAML<\/em> sadr\u017eaja. U slu\u010daju neuspje\u0161nog de\u0161ifrovanja, proces na inficiranom ra\u010dunaru neprimjetno se prekida pozivom sistemske funkcije za zavr\u0161etak izvr\u0161avanja procesa. Navedeni mehanizam spre\u010dava nastanak zapisa o gre\u0161kama koji bi mogli ukazati na prisustvo napada, \u010dak i kada pogre\u0161an klju\u010d ili izmijenjeno okru\u017eenje onemogu\u0107e nastavak izvr\u0161avanja. Izostanak upisivanja podataka na disk tokom ove faze dodatno ote\u017eava utvr\u0111ivanje porijekla napada i rekonstrukciju njegovog toka, jer iza izvr\u0161avanja ostaje veoma malo tragova, osim privremenih zapisa u memoriji.<\/p>\n<p><em>XAML-3<\/em> izvr\u0161ava se unutar zasebnog sistemskog procesa namijenjenog smje\u0161tanju i izvr\u0161avanju odre\u0111enih komponenti, pri \u010demu se za raspakivanje zavr\u0161nih zlonamjernih sadr\u017eaja koriste uzastopni koraci de\u0161ifrovanja koji obuhvataju <em>AES<\/em> i <em>Base64<\/em> kodiranje. Takav vi\u0161eslojni pristup osigurava da naredni slojevi ostanu netaknuti \u010dak i ako jedan od prethodnih bude presretnut ili izmijenjen, sve dok se ne ispune svi zahtjevi koje postavlja okru\u017eenje doma\u0107ina.<\/p>\n<p>Oslanjanje zlonamjernog softvera <em>NetamLoader<\/em> na vi\u0161efazni postupak de\u0161ifrovanja potvr\u0111uje da je osmi\u0161ljen za napade na strogo kontrolisane i za\u0161ti\u0107ene sisteme, u kojima su tradicionalni na\u010dini otkrivanja zlonamjernog softvera manje djelotvorni.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Slabljenje_mehanizama_za_otkrivanje\"><\/span><strong>Slabljenje mehanizama za otkrivanje<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Ovaj pristup iskori\u0161tava preuzimanje kontrole nad mehanizmom za provjeru zlonamjernog sadr\u017eaja (eng. <em>antimalware scan interface \u2013 AMSI<\/em>) radi upravljanja rezultatima skeniranja, \u010dime se osigurava da bezbjednosni alati prijavljuju la\u017eno negativne rezultate.<\/p>\n<p>Zlonamjerni softver <em>NetamLoader<\/em> efektivno neutrali\u0161e otkrivanje prijetnji u stvarnom vremenu, pri \u010demu preusmjerava pokaziva\u010d funkcije za skeniranje na izmijenjenu funkciju za brisanje konzolnog sadr\u017eaja. Navedena manipulacija izvodi se bez naru\u0161avanja integriteta stvarnih modula, \u010dime se prikriva prisustvo zlonamjernog softvera unutar pouzdanih procesa.<\/p>\n<p>Udaljeno izvr\u0161avanje komandi oslanja se na razdvajanje procesa <em>dllhost.exe<\/em>, \u010dime se izoluju zlonamjerne aktivnosti od po\u010detnih vektora infekcije. <em>COM<\/em> objekat pokre\u0107e <a href=\"https:\/\/sajberinfo.com\/en\/2023\/04\/11\/payload\/\" data-internallinksmanager029f6b8e52c=\"3\" title=\"Payload\" rel=\"nofollow noopener\" target=\"_blank\">zlonamjerni korisni teret<\/a> unutar navedenog procesa doma\u0107ina, \u010dime se fragmentiraju potpisi pona\u0161anja i izbjegavaju sistemi za nadzor krajnjih ta\u010daka.<\/p>\n<p>Takva razgrani\u010davanja naru\u0161avaju povezanost izme\u0111u neuobi\u010dajenih doga\u0111aja i njihovog porijekla, \u010dime se ote\u017eava forenzi\u010dka analiza. Ka\u0161njenja u izbjegavanju izolovanog okru\u017eenja dodatno prikrivaju operacije zlonamjernog softvera <em>NetamLoader<\/em>, pri \u010demu se uvode promjenljiva vremena \u010dekanja prije uspostavljanja komunikacije za komandovanje i kontrolu.<\/p>\n<p>Po\u010detni kontakt sa serverom za komandovanje i kontrolu de\u0161ava se nakon 20 do 40 minuta, \u010dime se zaobilaze automatizovana okru\u017eenja za otkrivanje koja se oslanjaju na brze okida\u010de pona\u0161anja. Naknadni intervali ispitivanja, koji se kre\u0107u od 5 do 6 minuta do produ\u017eenih perioda nakon neuspjeha, osiguravaju postojanost bez pokretanja upozorenja povezanih sa \u010destom mre\u017enom aktivno\u0161\u0107u.<\/p>\n<p>Kori\u0161tenje <a href=\"https:\/\/sajberinfo.com\/en\/2022\/03\/20\/enkripcija-podataka-istorija-i-osnove-epizoda-1\/\" data-internallinksmanager029f6b8e52c=\"6\" title=\"Enkripcija podataka: Istorija i osnove (Epizoda 1)\" rel=\"nofollow noopener\" target=\"_blank\">\u0161ifrovanja<\/a> <em>AES-128-CBC<\/em> uz provjeru prava pristupa <em>HMAC-SHA256<\/em> od strane zlonamjernog softvera dodaje jo\u0161 jedan sloj prikrivanja, \u010dime se \u0161titi razmjena podataka od presretanja. Promjenljivim odabirom mre\u017enog posrednika (eng. <em>proxy<\/em>) kroz vi\u0161estruke metode, zlonamjerni softver <em>NetamLoader<\/em> odr\u017eava povezanost u ograni\u010denim mre\u017eama, pri \u010demu istovremeno izbjegava stati\u010dne obrasce <em>IP<\/em> adresa koji bi mogli pobuditi sumnju tokom analize saobra\u0107aja.<\/p>\n<p>&nbsp;<\/p>\n<h3><span class=\"ez-toc-section\" id=\"Sifrovani_kanal_za_komandovanje_i_prilagodljiva_komunikacija\"><\/span><strong>\u0160ifrovani kanal za komandovanje i prilagodljiva komunikacija<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h3>\n<p>Komunikacija izme\u0111u zlonamjernog softvera <em>NetamLoader<\/em> i njegovog servera za komandovanje i kontrolu koristi \u0161ifrovanje <em>AES-128-CBC<\/em> u kombinaciji sa provjerom prava pristupa <em>HMAC-SHA256<\/em>, \u010dime se osiguravaju povjerljivost i integritet podataka.<\/p>\n<p>Navedeni kriptografski pristup sprje\u010dava presretanje ili izmjenu od strane sigurnosnih istra\u017eiva\u010da, pri \u010demu se zlonamjernom softveru omogu\u0107ava da zadr\u017ei nizak profil tokom prenosa. Domen za komandovanje i kontrolu, <em>openaigpt4v[.]com<\/em>, smje\u0161ten je na infrastrukturi kompanije <em>Cloudflare<\/em>, \u010dime se prikriva njegovo stvarno porijeklo i ote\u017eavaju napori sigurnosnih timova u utvr\u0111ivanju odgovornosti prilikom analize mre\u017enog saobra\u0107aja.<\/p>\n<p>Zlonamjerni akteri oslanjaju se na periodi\u010dne intervale ispitivanja radi odr\u017eavanja prikrivenih operacija. Nakon po\u010detnog ka\u0161njenja od 20 do 40 minuta od trenutka infekcije, zlonamjerni softver javlja se serveru za komandovanje i kontrolu svakih pet do \u0161est minuta u normalnim uslovima. Me\u0111utim, ukoliko se ne dobije odgovor od servera, prelazi u stanje mirovanja do 28 sati prije ponovnog poku\u0161aja, \u010dime se zna\u010dajno smanjuje vjerovatno\u0107a otkrivanja od strane izolovanih okru\u017eenja ili automatizovanih alata za skeniranje.<\/p>\n<p>Radi funkcionisanja unutar ograni\u010denih mre\u017ea, zlonamjerni softver <em>NetamLoader<\/em> primjenjuje tri razli\u010dite strategije pretrage mre\u017enog posrednika (eng. <em>proxy<\/em>), \u010dime mu se omogu\u0107ava da zaobi\u0111e za\u0161titne zidove i odr\u017ei povezanost \u010dak i u visoko za\u0161ti\u0107enim dr\u017eavnim okru\u017eenjima. Navedene metode osiguravaju otpornost na segmentaciju mre\u017ee uz o\u010duvanje operativnog kontinuiteta.<\/p>\n<p><a href=\"https:\/\/sajberinfo.com\/en\/2022\/04\/22\/enkripcija-podataka-upravljanje-kljucevima-i-nedostaci-enkripcije-epizoda-3\/\" data-internallinksmanager029f6b8e52c=\"23\" title=\"Enkripcija podataka: Upravljanje klju\u010devima i ne...\" rel=\"nofollow noopener\" target=\"_blank\">Klju\u010devi za \u0161ifrovanje<\/a> koji se koriste za prenos podataka izvedeni su iz glavnog klju\u010da ugra\u0111enog u pode\u0161avanja zlonamjernog softvera, \u010dime se dodatno ote\u017eavaju napori analiti\u010dara za de\u0161ifrovanje bez pristupa navedenom kriti\u010dnom podatku. Kori\u0161tenje infrastrukture kompanije <em>Cloudflare<\/em> od strane zlonamjernog softvera <em>NetamLoader<\/em> nagla\u0161ava njegovu sposobnost da se stopi sa obrascima dozvoljenog saobra\u0107aja, pri \u010demu se iskori\u0161tavaju globalni domet i funkcije anonimnosti mre\u017ee za isporuku sadr\u017eaja.<\/p>\n<p>Navedeni izbor ne samo da prikriva lokaciju servera za komandovanje i kontrolu, ve\u0107 se i uskla\u0111uje sa \u0161irim trendovima u razvoju zlonamjernog softvera, u kojima zlonamjerni akteri iskori\u0161tavaju pouzdane usluge radi izbjegavanja otkrivanja. Kombinacija \u0161ifrovanih kanala, prilagodljivog ispitivanja i otpornosti mre\u017enog posrednika isti\u010de prora\u010dunat dizajn usmjeren na produ\u017eavanje postojanosti unutar ciljanih sistema.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"ZAKLJUCAK\"><\/span><strong>ZAKLJU\u010cAK<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Pojava zlonamjernog softvera <em>NetamLoader<\/em> nagla\u0161ava sistemski zaokret ka ciljanju prilago\u0111enih dr\u017eavnih softverskih ekosistema, u kojima se ranjivosti poja\u010davaju izolacijom od a\u017euriranja i nadzora glavnih tokova.<\/p>\n<p>Kako nacije daju prednost tehnolo\u0161kom suverenitetu, navedeni napad otkriva su\u0161tinsku suprotnost: dok samostalnost smanjuje stranu zavisnost, ona isto tako zahtijeva izuzetnu budnost nad svakim slojem lanca snabdijevanja softverom, od alata tre\u0107ih strana poput <em>Patch My PC<\/em> do \u0161ifrovanih komunikacionih kanala koji izbjegavaju tradicionalne mehanizme za otkrivanje.<\/p>\n<p>Oslanjanje zlonamjernog softvera <em>NetamLoader<\/em> na stvarne komponente kompanije <em>Microsoft<\/em> i njegova sposobnost da manipuli\u0161e mehanizmom za provjeru zlonamjernog sadr\u017eaja (<em>AMSI<\/em>) i softverom za otkrivanje i odgovor na prijetnje (<em>EDR<\/em>) otkrivaju rastu\u0107u naprednost u dizajnu zlonamjernog softvera, \u010dime se bri\u0161e granica izme\u0111u dozvoljenih operacija i prikrivene infiltracije.<\/p>\n<p>Navedena kampanja isti\u010de na koji na\u010din zlonamjerni akteri iskori\u0161tavaju nedostatke u razvoju prilago\u0111enih operativnih sistema, u kojima vlasni\u010dke verzije mogu biti li\u0161ene uobi\u010dajenih bezbjednosnih protokola ili integracije obavje\u0161tajnih podataka o prijetnjama u stvarnom vremenu.<\/p>\n<p>Kori\u0161tenje odgo\u0111enih intervala komunikacije i razdvajanja procesa putem <em>dllhost.exe<\/em> obja\u0161njava strategiju u razvoju za produ\u017eavanje vremena zadr\u017eavanja uz smanjenje izlo\u017eenosti, \u0161to je trend koji bi mogao redefinisati vremenski okvir za otkrivanje incidenata u visoko za\u0161ti\u0107enim okru\u017eenjima.<\/p>\n<p>Modularna arhitektura zlonamjernog softvera <em>NetamLoader<\/em> dodatno ote\u017eava ubla\u017eavanje, jer njegova sposobnost da dinami\u010dki u\u010ditava sklopove kroz <em>XAML<\/em> oznake sugeri\u0161e okvir prilagodljiv budu\u0107im metama izvan regije Azija.<\/p>\n<p>\u0160iri uticaji prote\u017eu se na globalnu politiku <a href=\"https:\/\/sajberinfo.com\/en\/2018\/12\/23\/sajber-bezbjednost\/\" data-internallinksmanager029f6b8e52c=\"20\" title=\"SAJBER BEZBJEDNOST\" rel=\"nofollow noopener\" target=\"_blank\">sajber bezbjednosti<\/a>, u kojoj navedeni napad prisiljava vlade da prilagode prednosti tehnolo\u0161ke samostalnosti sa teretom koji zahtijeva mnogo resursa za osiguravanje svake komponente u njihovom softverskom okru\u017eenju. Iako telemetrija kompanije <em>Kaspersky<\/em> ukazuje na jednu potvr\u0111enu \u017ertvu, dizajn zlonamjernog softvera ukazuje na neiskori\u0161tenu mogu\u0107nost pro\u0161irenja, \u010dime se postavljaju pitanja o tome koliko sli\u010dnih sistema ostaje neprovjereno protiv navedenih ciljanih prijetnji.<\/p>\n<p>Odsustvo utvr\u0111ivanja odgovornosti isto tako ozna\u010dava strate\u0161ki napor zlonamjernih aktera da djeluju u sjeni geopoliti\u010dke konkurencije, pri \u010demu se iskori\u0161tava dvosmislenost naru\u0161avanja lanca snabdijevanja kako bi se izbjeglo direktno suo\u010davanje.<\/p>\n<p>&nbsp;<\/p>\n<h2><span class=\"ez-toc-section\" id=\"PREPORUKE\"><\/span><strong>PREPORUKE<\/strong><span class=\"ez-toc-section-end\"><\/span><\/h2>\n<p>Zlonamjerni softver <em>NetamLoader<\/em>, napredni okvir zlonamjernog softvera zasnovan na tehnologiji .<em>NET<\/em> koji cilja prilago\u0111ene verzije operativnog sistema <em>Windows 10<\/em> koje koriste dr\u017eavne institucije u Aziji, nagla\u0161ava potrebu za unaprijed osmi\u0161ljenim strategijama odbrane. Navedeni protokoli u nastavku su od su\u0161tinskog zna\u010daja za ubla\u017eavanje prepoznatih rizika i osiguravanje operativne neprekidnosti:<\/p>\n<ol>\n<li>Vr\u0161iti strogo pra\u0107enje direktorijuma za a\u017euriranje operativnog sistema <em>Windows<\/em>, posebno <em>SoftwareDistribution\\Download<\/em>, radi otkrivanja neo\u010dekivanih datoteka .<em>config<\/em> ili potpisanog softvera koji u\u010ditava k\u00f4d na nestandardne na\u010dine. Navedeno je u skladu sa nalazima kompanije <em>Kaspersky<\/em> da je zlonamjerni softver <em>NetamLoader<\/em> bio ugra\u0111en unutar <em>CAB<\/em> arhiva koje su sadr\u017eavale naizgled stvarne komponente alata <em>Patch My PC<\/em>, \u010dime se otkrivanje \u010dinilo izazovnim bez usmjerenog pregleda.<\/li>\n<li>Obavljati redovne preglede alata za upravljanje a\u017euriranjima tre\u0107ih strana poput <em>Patch My PC<\/em> radi osiguravanja njihove cjelovitosti i provjere da li su zlonamjerni korisni tereti uba\u010deni u tokove rada za a\u017euriranje. Oslanjanje navedenog zlonamjernog softvera na pouzdani softver radi infiltracije pokazuje klju\u010dni zna\u010daj provjere ispravnosti svih spoljnih zavisnosti u vladinim sistemima.<\/li>\n<li>Primijeniti softvere za otkrivanje i odgovor na prijetnje (<em>EDR<\/em>) sposobne da prepoznaju naru\u0161avanje mehanizma za provjeru zlonamjernog sadr\u017eaja (<em>AMSI<\/em>) ili neobi\u010dno pona\u0161anje procesa poput <em>exe<\/em> pokrenutog putem <em>COM<\/em> objekata. Taktike zlonamjernog softvera <em>NetamLoader<\/em>, \u0161to obuhvata preuzimanje kontrole nad mehanizmom za provjeru zlonamjernog sadr\u017eaja (<em>AMSI<\/em>) radi zaobila\u017eenja skeniranja, zahtijevaju analizu pona\u0161anja u stvarnom vremenu radi otkrivanja poku\u0161aja izbjegavanja prije nego \u0161to ugroze sisteme.<\/li>\n<li>Uspostaviti stroge kontrole pristupa i mehanizme bilje\u017eenja za zapise o a\u017euriranju sistema, datoteke <em>Prefetch<\/em> i unose <em>CmitUpdateAgent<\/em>. Strategija zlonamjernog softvera <em>NetamLoader<\/em> da obri\u0161e svoj digitalni otisak, poput brisanja zapisa o kori\u0161tenju tehnologije .<em>NET<\/em> i a\u017euriranja evidencije, zahtijeva sna\u017ene politike zadr\u017eavanja zapisa radi pra\u0107enja aktivnosti nakon infekcije.<\/li>\n<li>Unaprijediti alate za analizu mre\u017enog saobra\u0107aja radi otkrivanja \u0161ifrovane komunikacije sa poznatim domenima povezanim sa zlonamjernim softverom <em>NetamLoader<\/em>, poput <em>openaigpt4v[.]com<\/em>. Pra\u0107enje nepravilnih obrazaca podataka ili produ\u017eenih pauza u povezivanju (npr. 20 do 40 minuta prije kontakta sa kanalom za komandovanje i kontrolu) mo\u017ee otkriti skrivene aktivnosti zlonamjernog softvera.<\/li>\n<li>Koristiti izvore obavje\u0161tajnih podataka o prijetnjama radi ozna\u010davanja domena i <em>IP<\/em> adresa povezanih sa infrastrukturom zlonamjernog softvera <em>NetamLoader<\/em>, \u0161to obuhvata krajnje ta\u010dke za\u0161ti\u0107ene uslugom <em>Cloudflare<\/em>. Unaprijed osmi\u0161ljeno blokiranje takvih sredstava smanjuje rizik od <a href=\"https:\/\/sajberinfo.com\/en\/2023\/11\/09\/lateral-movement\/\" data-internallinksmanager029f6b8e52c=\"14\" title=\"Lateral movement\" rel=\"nofollow noopener\" target=\"_blank\">bo\u010dnog kretanja<\/a> ili preuzimanja podataka od strane zlonamjernih aktera koji iskori\u0161tavaju ugro\u017eene sisteme.<\/li>\n<li>Zahtijevati <a href=\"https:\/\/sajberinfo.com\/en\/2026\/05\/30\/multi-factor-authentication-mfa\/\" data-internallinksmanager029f6b8e52c=\"15\" title=\"Multi-Factor Authentication (MFA)\" rel=\"nofollow noopener\" target=\"_blank\">provjeru identiteta u vi\u0161e koraka<\/a> (<em>MFA<\/em>) za sva softverska a\u017euriranja i procese upravljanja ispravkama radi sprje\u010davanja neovla\u0161tenih izmjena. Infiltracija zlonamjernog softvera <em>NetamLoader<\/em> kroz pakete za a\u017euriranje isti\u010de potrebu za provjerom izvora, potpisa i cjelovitosti svake komponente prije primjene.<\/li>\n<li>Razviti prilago\u0111ene skripte za izvr\u0161avanje komandi radi skeniranja korisnih tereta zasnovanih na jeziku <em>XAML<\/em> ili kori\u0161tenja izolovanih domena aplikacija (<em>AppDomain<\/em>), kao \u0161to je vi\u0111eno u modelu izvr\u0161avanja zlonamjernog softvera <em>NetamLoader<\/em>. Navedene tehnike omogu\u0107avaju zlonamjernom softveru da djeluje prikriveno izolovanjem zlonamjernog k\u00f4da od procesa doma\u0107ina, \u010dime se otkrivanje \u010dini te\u017eim bez odre\u0111enih obilje\u017eja.<\/li>\n<li>Oja\u010dati bezbjednost lanca snabdijevanja softverom zahtijevanjem od dobavlja\u010da tre\u0107ih strana da prolaze kroz stroga penetracijska testiranja i pru\u017eaju otvorenost u vezi sa svojim mehanizmima a\u017euriranja. Oslanjanje navedenog napada na stvarne komponente nagla\u0161ava va\u017enost osiguravanja da se svi dobavlja\u010di pridr\u017eavaju strogih standarda sajber bezbjednosti.<\/li>\n<li>Ograni\u010diti kori\u0161tenje instalacija sa potpisom kompanije <em>Microsoft<\/em> u funkcijama koje nisu osnovne za sistem, jer je zlonamjerni softver <em>NetamLoader<\/em> iskoristio navedeno povjerenje za izvr\u0161avanje proizvoljnog .<em>NET<\/em> k\u00f4da bez pokretanja alarma. Redovni pregled i ograni\u010davanje takvih dozvola mogu ubla\u017eiti rizike od ugro\u017eenih potpisanih datoteka.<\/li>\n<li>Sprovoditi obuku osoblja za prepoznavanje znakova napada na lanac snabdijevanja, \u0161to obuhvata sumnjive pakete za a\u017euriranje ili neo\u010dekivano pona\u0161anje pouzdanih alata poput <em>Patch My PC<\/em>. Ljudski nadzor ostaje klju\u010dna linija odbrane protiv naprednog zlonamjernog softvera koji opona\u0161a stvarne procese.<\/li>\n<li>Sara\u0111ivati sa firmama za sajber bezbjednost radi razmjene obavje\u0161tajnih podataka o prijetnjama i izvje\u0161taja o analizi lanca infekcije zlonamjernog softvera <em>NetamLoader<\/em>. Kolektivno znanje mo\u017ee ubrzati napore za otkrivanje i odgovor u pogo\u0111enim organizacijama.<\/li>\n<li>Sprovoditi stroge politike za povla\u010denje iz upotrebe zastarjelih sistema koji mo\u017eda i dalje pokre\u0107u ranjive verzije operativnog sistema <em>Windows<\/em> koje cilja zlonamjerni softver <em>NetamLoader<\/em>. Postepeno ukidanje zastarjele infrastrukture smanjuje <a href=\"https:\/\/sajberinfo.com\/en\/2023\/03\/24\/povrsina-napada-uvod-epizoda-1\/\" data-internallinksmanager029f6b8e52c=\"4\" title=\"Povr\u0161ina napada: Uvod (Epizoda 1)\" rel=\"nofollow noopener\" target=\"_blank\">povr\u0161ine napada<\/a> i osigurava da se savremene kontrole bezbjednosti primjenjuju ujedna\u010deno.<\/li>\n<li>Formirati namjenski tim za odgovor na incidente radi rje\u0161avanja scenarija u kojima zlonamjerni softver <em>NetamLoader<\/em> ili sli\u010dan zlonamjerni softver ugro\u017eava dr\u017eavne mre\u017ee, \u010dime se osigurava da su procesi brzog obuzdavanja, iskorjenjivanja i oporavka uspostavljeni. Unaprijed osmi\u0161ljena priprema smanjuje vrijeme nedostupnosti i gubitak podataka tokom napada.<\/li>\n<li>Uvesti obavezu kori\u0161tenja alata za analizu pona\u0161anja koji ozna\u010davaju nepravilnosti poput neo\u010dekivane izolacije procesa (npr. pravljenje domena aplikacija) ili nepravilnih obrazaca komunikacije sa serverima za komandovanje i kontrolu. Navedena pona\u0161anja su odlika taktika izbjegavanja otkrivanja zlonamjernog softvera <em>NetamLoader<\/em> i zahtijevaju pra\u0107enje u stvarnom vremenu radi efikasnog suprotstavljanja.<\/li>\n<li>Ograni\u010diti administratorske privilegije na sistemima za upravljanje a\u017euriranjima radi sprje\u010davanja neovla\u0161tenih izmjena, \u0161to je klju\u010dni korak u suprotstavljanju sposobnosti zlonamjernog softvera <em>NetamLoader<\/em> da ubaci zlonamjerni k\u00f4d u pouzdane tokove rada bez otkrivanja. Modeli najmanjih privilegija smanjuju rizik od iskori\u0161tavanja.<\/li>\n<li>Oja\u010dati osiguranje sistema onemogu\u0107avanjem nepotrebnih usluga i protokola koji bi se mogli iskoristiti za komunikaciju sa kanalom za komandovanje i kontrolu ili izvr\u0161avanje zlonamjernog softvera. Time se smanjuje povr\u0161ina napada dostupna zlonamjernim akterima koji iskori\u0161tavaju prikrivene tehnike zlonamjernog softvera <em>NetamLoader<\/em>.<\/li>\n<li>Sprovoditi redovna penetracijska testiranja usmjerena na kanale za a\u017euriranje, alate tre\u0107ih strana i aplikacije zasnovane na tehnologiji .<em>NET<\/em> radi prepoznavanja ranjivosti koje bi zlonamjerni softver <em>NetamLoader<\/em> mogao iskoristiti. Unaprijed osmi\u0161ljeno testiranje osigurava da su odbrane otporne na prijetnje koje se razvijaju.<\/li>\n<\/ol>\n<p>Usvajanjem navedenih mjera, organizacije mogu zna\u010dajno smanjiti rizik od postajanja \u017ertvom zlonamjernog softvera <em>NetamLoader<\/em> ili sli\u010dnih napada na lanac snabdijevanja, uz istovremeno odr\u017eavanje usagla\u0161enosti sa najboljim praksama sajber bezbjednosti prilago\u0111enim za dr\u017eavne sisteme.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Zlonamjerni akteri koji koriste zlonamjerni softver NetamLoader izveli su napad na lanac snabdijevanja, pri \u010demu su ciljali prilago\u0111ene verzije operativnog sistema Windows koje koriste dr\u017eavne institucije u Aziji. Tom prilikom, zlonamjerni k\u00f4d ubacili su&#46;&#46;&#46;<\/p>","protected":false},"author":1,"featured_media":9857,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[62,4676,2817,1179,3410,3608,1452,4675,93,4673,54,4674,3056,1397,76],"class_list":["post-9853","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hronike","tag-apt","tag-asia-cyber-threat","tag-cyber-attack","tag-cyber-espionage","tag-cyber-security","tag-cyber-threat","tag-data-protection","tag-government-systems","tag-malware","tag-netamloader","tag-sajber-bezbjednost","tag-supply-chain-attack","tag-threat-detection","tag-windows-security","tag-zlonamjerni-softver"],"_links":{"self":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9853","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/comments?post=9853"}],"version-history":[{"count":4,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9853\/revisions"}],"predecessor-version":[{"id":9858,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/posts\/9853\/revisions\/9858"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media\/9857"}],"wp:attachment":[{"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/media?parent=9853"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/categories?post=9853"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sajberinfo.com\/en\/wp-json\/wp\/v2\/tags?post=9853"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}