Onderzoekers ontdekten NetamLoader, een geavanceerde malware die via .NET-injectie Aziatische overheids-Windows 10-systemen aanvalt, mogelijk via een supply chain-aanval.
Cybersecurityonderzoekers hebben details bekendgemaakt over een geavanceerde infectieketen die zich richt op overheidsorganisaties in Azië. Volgens het Russische beveiligingsbedrijf Kaspersky, dat de aanval deze week gedetailleerd beschreef, werd een aangepaste Windows 10-versie gebruikt die exclusief door overheidsinstanties in Azië wordt ingezet. De malware maakt gebruik van een tot nu toe onbekend .NET assembly-laadframework met de codenaam NetamLoader.
De aanval is nog niet toegeschreven aan een bekende dreigingsactor en het is onduidelijk of er daadwerkelijk gevoelige informatie is buitgemaakt of dat meerdere systemen zijn gecompromitteerd. Kaspersky ontdekte het kwaadaardige artefact in de eerste helft van 2026, verpakt in een Windows cabinet-archief (CAB-bestand) dat werd geplaatst in een map waar Windows-updates worden opgeslagen. Vermoed wordt dat het hier gaat om een supply chain-aanval, waarbij een vertrouwde derde partij werd gecompromitteerd om zo toegang te krijgen tot downstreamgebruikers.
De malware maakt gebruik van een .config-bestand dat AppDomainManager-injectie toepast om willekeurige .NET-assemblies te laden. Deze adversarial techniek misbruikt het AppDomainManager-mechanisme van het .NET Framework bij het opstarten van een .NET-applicatie om kwaadaardige code uit te voeren. Dit lijkt op DLL-sideloading, waarbij schadelijke code binnen een legitiem proces wordt uitgevoerd om detectie te vermijden.
Het CAB-archief werd geplaatst in de map "C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24" en de inhoud werd uitgepakt naar "C:\Windows\SoftwareDistribution\Download\Install\". De infectieketen bestaat uit twee fasen. In de eerste fase start het uitvoerbare bestand "PatchMyPC-ScriptRunner.exe" verschillende payloads via AppDomainManager-injectie, waarbij het .config-bestand wordt geparsed en de DLL "Microsoft.HostIntegration.Connectors.dll" wordt geladen. Deze DLL leest vervolgens het bestand "fabric.config" en laadt "Resources.resx", dat meerdere lagen van gecodeerde, gecomprimeerde of versleutelde payloads bevat, zoals XAML-bestanden, .NET-assemblies en JSON-data.
In de tweede fase worden deze payloads verder verwerkt. Zo bevat XAML-2 twee Base64-gecodeerde en gecomprimeerde XAML-bestanden, waarvan één wordt gebruikt om de Antimalware Scan Interface (AMSI) te omzeilen. Het andere bestand bevat een .NET-module en een JSON-payload met configuratiegegevens voor command-and-control-servers en extra versleutelde XAML-templates. Deze worden gedecodeerd, geladen en uitgevoerd, waarna de malware statusupdates naar de C2-server stuurt en sporen van de infectie verwijdert.
