NetamLoader атакует госсистемы Windows 10 в Азии через .NET-инъекции

NetamLoader использует AppDomainManager-инъекции для загрузки вредоносных .NET-сборок

Исследователи кибербезопасности обнаружили сложную цепочку заражения, нацеленную на государственные организации в Азии. Атака использует ранее неизвестный фреймворк для загрузки .NET-сборок под кодовым названием NetamLoader. Вредоносное ПО было обнаружено в первой половине 2026 года. Оно распространялось в виде архива Windows cabinet (CAB), помещенного в директорию с пакетами обновлений операционной системы. Эксперты предполагают, что операция могла быть связана с атакой на цепочку поставок. Злоумышленники могли скомпрометировать доверенного стороннего поставщика для получения доступа к конечным пользователям.

Атака загружает вредоносный код через файл .config и компоненты Patch My PC

Вредоносный файл .config использует технику AppDomainManager-инъекции. Эта техника позволяет загружать произвольные .NET-сборки, перехватывая механизм AppDomainManager при запуске .NET-приложения. Цель — выполнить код в процессе легитимного приложения, чтобы избежать обнаружения. Архив CAB содержал семь файлов, четыре из которых являются компонентами программы управления конечными точками Patch My PC. Среди них fabric.config, Microsoft.HostIntegration.Connectors.dll, PatchMyPC-Enum.dll, PatchMyPC-Models.dll, PatchMyPC-ScriptRunner.exe, PatchMyPC-ScriptRunner.exe.config и Resources.resx. Только файл Resources.resx не содержал вредоносного кода. Цепочка заражения состоит из двух этапов. Сначала исполняется PatchMyPC-ScriptRunner.exe, который использует AppDomainManager-инъекцию для парсинга файла PatchMyPC-ScriptRunner.exe.config. Это приводит к выполнению Microsoft.HostIntegration.Connectors.dll. Затем Microsoft.HostIntegration.Connectors.dll находит и парсит файл fabric.config. Этот файл загружает Resources.resx, который содержит многоуровневые закодированные, сжатые или зашифрованные полезные нагрузки. Среди них XAML-файлы, .NET-сборки и JSON-данные.

Атака нацелена на кастомизированную версию Windows 10 для госсектора Азии

Обнаруженная вредоносная активность нацелена на специализированную сборку Windows 10, используемую исключительно государственными структурами в Азии. Конкретная страна не раскрывается, но есть основания полагать, что это Китай. Microsoft предлагает версию Windows 10 China Government Edition для китайского правительства и государственных предприятий. В августе Bloomberg сообщал, что Министерство государственной безопасности Китая предписало некоторым ведомствам отказаться от использования "Government Edition" в пользу отечественных дистрибутивов Linux. Это решение связано с опасениями по поводу безопасности данных и стремлением снизить зависимость от иностранных технологий. По мнению экспертов, многие страны разрабатывают собственные программные платформы, включая операционные системы, для обеспечения полного контроля над их разработкой и эксплуатацией. Однако это также возлагает на каждую страну ответственность за защиту всей экосистемы.

Обнаружение и анализ вредоносных файлов требуют внимания к деталям

Вредоносные полезные нагрузки включают XAML-1, который служит загрузчиком для XAML-2. XAML-2 инициирует вторую стадию атаки, загружая два сжатых и закодированных в Base64 файла: XAML-2-1 и XAML-2-2. XAML-2-1 используется для обхода Antimalware Scan Interface (AMSI). XAML-2-2 содержит .NET 1 Loader и JSON-1. JSON-1 включает конфигурацию командно-контрольного сервера (C2) и закодированный в Base64 файл .NET 2 Plugin. Он также содержит сжатые и зашифрованные XAML-шаблоны для сборки XAML-3. .NET 1 Loader расшифровывает, собирает и загружает XAML-3. Он сообщает о статусе на C2-сервер и удаляет вредоносные файлы, логи CLR и файлы Prefetch для заметания следов. XAML-3 выполняется в процессе dllhost.exe и загружает .NET 2 Plugin. .NET 2 Plugin загружает конфигурацию C2, собирает информацию о системе, проверяет процесс host и отправляет запросы на C2-сервер (openaigpt4v[.]com) с периодическими интервалами. При получении валидного ответа цикл запросов приостанавливается, в противном случае — на длительное время.