資安業者卡巴斯基（Kaspersky）旗下全球研究與分析團隊（GReAT）10 月 29 日公布，發現一起針對亞洲某國政府機關專用客製化 Windows 10 的攻擊。攻擊者利用合法軟體元件載入新型惡意程式框架「NetamLoader」，可接收並執行額外程式碼，同時隱藏自身活動。
單一受害端點，尚無法歸因
Kaspersky 透過威脅監控網路只發現 1 個受害端點，且未將攻擊連結到任何已知威脅組織。惡意程式是為這套作業系統量身打造，包括會刪除系統自有更新元件記錄中的部分條目，Kaspersky 因此推斷目標為亞洲國家的政府單位。研究人員未公開受影響的國家或機關，也不清楚有多少系統受到波及。
合法元件成為載體
調查始於 2026 年上半年，Kaspersky 在 Windows 更新資料夾的封存檔中，偵測到一個可疑設定檔。封存檔內多數為合法程式，包括第三方修補管理工具 Patch My PC 的元件與微軟簽章模組。攻擊者以修改過的輔助檔案，讓正版軟體載入惡意指令。
Kaspersky 指出，封存檔的位置與內容顯示這可能是軟體供應鏈攻擊（software supply chain attack），即攻擊者濫用軟體發布或更新流程接觸目標。但研究人員未觀察到封存檔如何送達受害端，現有發現也未顯示 Patch My PC 或其發布系統遭到入侵。
多層解碼與隱匿手法
NetamLoader 會經多層編碼、壓縮與加密解開惡意內容，再把執行轉移到合法的 Windows 程序，使其與原始程式的關聯更難追查。框架也會干擾反惡意程式掃描功能，並刪除可協助還原攻擊過程的檔案，包括系統快取檔、.NET 使用記錄與更新元件的記錄條目。
啟動後，它會連線至攻擊者控制的伺服器接收指令與設定變更。研究人員分析的設定中，首次連線前延遲 20 至 40 分鐘；伺服器沒有有效回應時，則等待 22 至 28 小時再重試。這讓短時間的監控難以觀察到網路活動。
技術自主也要保護整個生態系
卡巴斯基 GReAT 亞太及中東、土耳其與非洲（META）地區研究中心負責人 Sergey Lozhkin 表示：「許多政府已將技術主權列為優先事項，而作業系統往往是起點。自行掌握平台能取得控制權，但也意味著必須保護周邊整個生態系，從更新管道到所依賴的維護工具，而這個生態系需要時間才能成熟。這起案例說明，防守方不能只確認每個程式是否合法，還必須檢視元件之間如何互動。」
Kaspersky 提出以下建議：
- 稽核更新管道：監控更新下載資料夾是否出現非預期的執行檔與設定檔，驗證每個更新套件的來源。
- 限制第三方管理工具：僅允許從核准路徑執行。
- 集中儲存日誌：將日誌存放在端點之外，並把本機日誌的不明缺口視為警訊。
- 偵測複合行為：留意已簽章程式透過修改過的設定檔載入程式碼、Windows 系統程序連線外部伺服器，以及掃描功能遭竄改。
Kaspersky 產品將此威脅偵測為 HEUR:Trojan.MSIL.NetamLoader.gen、Trojan.MSIL.Zapchast.、Trojan.Script.Agent.。完整技術報告與入侵指標（IOC）已發布於 Securelist。