СЕНТЯБРЬ. Безопасность обновлений и supply chain: источник, подпись, DLL sideloading, CI/CD и поведение после установки

Обновление обычно получает максимальный кредит доверия: его запускает знакомый сервис, бинарник подписан, а каталог давно внесён в allowlist. Именно поэтому supply-chain атаки опасны. Атакующему не обязательно подделывать весь дистрибутив. Иногда достаточно встроиться в цепочку так, чтобы доверенный процесс сам загрузил или запустил чужой код.

 

 

HelloNet: доверенный процесс, чужая библиотека

Kaspersky описала кампанию HelloNet, активную как минимум с мая 2026 года. На одной из систем вредоносный wtsapi32.dll оказался в каталоге ViPNet Update System. Легитимный процесс обновления ictsrvup64.exe был уязвим для DLL sideloading и загружал подложенную библиотеку. Важно не расширять вывод: публикация не утверждает компрометацию канала распространения обновлений InfoTeCS. Речь о закреплении через компонент системы обновления на заражённой машине.

 

Что это меняет в модели доверия

Проверять нужно минимум четыре слоя: источник обновления, подлинность пакета, целостность локального механизма обновления и поведение процесса после запуска. Подписанный родительский процесс не делает автоматически доверенными DLL, дочерние процессы, сетевые соединения и файлы, которые он использует.

 

Supply chain шире обновлятора

В 2026 году были скомпрометированы и открытые экосистемы пакетов. Microsoft описывала атаки на npm и другие цепочки, где вредоносная версия попадала в легитимный репозиторий или CI/CD. Поэтому для собственных разработок нужен ещё один слой: кто может публиковать пакеты, как защищены токены registry, фиксируются ли зависимости, есть ли SBOM и можно ли воспроизвести происхождение сборки.

 

Проверка пройдена, если

Для критичного ПО известен доверенный источник, подпись проверяется, права на каталог обновления ограничены, создание новых DLL/EXE рядом с updater заметно, поведение signed process контролируется, а для внутренней разработки защищены registry credentials и publish pipeline.

 

Практический вопрос

Если завтра вендор выпускает emergency update, можете ли вы быстро проверить, откуда он получен, какую версию заменяет, какие файлы добавляет, какие процессы запускает и куда устанавливает соединения? Если ответ требует ручного расследования с нуля, процесс доверия ещё не оформлен.

 

Как это связано с решениями Смарт-Софт

TING существует в разных форм-факторах (ПО/VM, ПАК, SaaS) и моделях эксплуатации (коммерческое, сертифицированное ФСТЭК). Это даёт разные модели доверия к цепочке обновления — от самостоятельного контроля до использования обновлений вендора. Однако сертификация конкретного исполнения не является доказательством безопасности всей цепочки поставки. Trust к обновлениям нужно выстраивать отдельно.

 

Что сделать сегодня

• Выбрать один автоматический updater.
• Проверить источник, подпись, права на каталог и дочерние процессы.
• Для внутренней разработки проверить publish credentials и зависимости.

  

Источники

• Kaspersky / Securelist. HelloNet campaign: new malicious modules launched through the ViPNet update system. 16.07.2026.
• Microsoft: Trivy supply chain compromise, 24.03.2026. 
• Microsoft: ChainDrop, 04.08.2026.

 

Последняя техническая проверка: 14.10.2026.