NetamLoader
A Kaspersky bemutatta a NetamLoader, többlépcsős .NET-alapú kártevőkeretrendszert, amelyet egy ázsiai kormányzati szervezetek számára testre szabott Windows 10-változat ellen alkalmaztak. A kutatók szerint a támadás erősen ellátásilánc-kompromittálásra utal, de a kezdeti behatolás módját és az elkövetők kilétét nem sikerült megállapítani.
A fertőzést 2026 első felében észlelték. A rosszindulatú összetevők egy Windows-frissítési könyvtárban található CAB-archívumban rejtőztek, amely legitim Patch My PC programokat és Microsoft által aláírt .NET-összetevőket tartalmazott. A tényleges támadókód egy Resources.resx állományban kapott helyet.
A támadók az AppDomainManager injection technikával eltérítették a legitim PatchMyPC-ScriptRunner.exe indulási folyamatát. Ezután egy .NET-deszerializációs hibát és XAML-alapú betöltőket használtak a titkosított kódrétegek memóriába töltéséhez. A megoldás különlegessége, hogy a végrehajtási logika jelentős része XML-szerű XAML-leírásokban rejtőzik.
A NetamLoader megkerüli a Windows AMSI kártevőellenőrzési mechanizmusát, korlátozza a .NET-eseménynaplózást, majd a következő kódréteget egy dllhost.exe folyamatba juttatja. A kártevő emellett törli a telepítési nyomokat, a gyorsítótárfájlokat és a frissítési naplók egyes bejegyzéseit.
A vezérlőszerverrel folytatott kommunikáció titkosított, a kapcsolatfelvételt pedig hosszú várakozási időkkel késlelteti. Ez megnehezítheti a rövid ideig futó automatizált sandboxban történő felismerést. A Kaspersky telemetriája egyetlen ázsiai áldozatot azonosított. A kártevő kifejezetten egy kormányzati használatra módosított operációs rendszer frissítési környezetéhez igazodott.
