Een onbekende APT-groep gebruikt NetamLoader, een geavanceerd .NET-laadframework via XAML, om aangepaste Windows 10-systemen van overheden in Azië te infecteren.
Onderzoekers van Kaspersky hebben een geavanceerde infectieketen ontdekt die gebruikmaakt van een complex .NET-assembly laadmechanisme gebaseerd op XAML-markup. Deze malware, aangeduid als NetamLoader, richt zich op een aangepaste Windows 10-versie die exclusief door overheidsinstanties in Azië wordt gebruikt. De aanval lijkt een supply-chain karakter te hebben en is in de eerste helft van 2026 aan het licht gekomen via een malwarewaarschuwing van het Kaspersky Security Network (KSN).
De initiële infectie startte met een .config-bestand dat via AppDomainManager injection willekeurige .NET-assemblies laadt. Dit bestand zat verpakt in een CAB-archief dat werd geplaatst in de map waar Windows updates worden opgeslagen (C:\Windows\SoftwareDistribution\Download). Hoewel de meeste bestanden in het archief legitieme componenten van het patchmanagementtool Patch My PC waren, bleek een hernieuwde analyse van het .config-bestand en het laadproces de complexe infectieketen en het kwaadaardige framework bloot te leggen.
De infectieketen bestaat uit meerdere fasen waarbij PatchMyPC-ScriptRunner.exe als hostproces fungeert voor het laden van verschillende payloads. In de eerste fase wordt de AppDomainManager injection-techniek ingezet om een kwaadaardige .NET-assembly te laden voordat de hoofdapplicatie start. De malware maakt gebruik van een geavanceerd encryptieschema voor netwerkverkeer en kan via proxies communiceren, wat het detecteren bemoeilijkt. De gebruikte XAML-bestanden en .NET-plugins worden dynamisch geladen en uitgevoerd in geïsoleerde AppDomains, wat de analyse en detectie verder compliceert.
Tot op heden is er geen directe toewijzing aan een bekende APT-groep gedaan. Kaspersky detecteert deze dreiging met signatures zoals HEUR:Trojan.MSIL.NetamLoader.gen en Trojan.Script.Agent.*. De aanval richt zich specifiek op een aangepaste Windows 10-build die door overheden in Azië wordt gebruikt, wat wijst op een gerichte en gesofisticeerde campagne.
