NetamLoader: un cargador .NET sigiloso diseñado para un Windows 10 exclusivo para gobiernos

Un framework de malware no documentado hasta ahora, bautizado como NetamLoader, ha sido detectado en un sistema gubernamental de Asia que ejecutaba una edición personalizada de Windows 10 distribuida únicamente a organismos estatales. La cadena de infección se esconde dentro de software legítimo y de confianza, y hace todo lo posible por pasar desapercibida: espionaje de manual, aunque todavía nadie ha puesto nombre al operador.

Qué ha ocurrido

El paquete malicioso apareció en el primer semestre de 2026 como un archivo cabinet de Windows (CAB) colocado en C:\Windows\SoftwareDistribution\Download\ —la carpeta donde Windows prepara sus propias actualizaciones— y descomprimido en una subcarpeta Install\. Esconderse entre archivos de actualización es una elección deliberada: casi nadie revisa ese lugar a mano.

Todavía se desconoce cómo llegó allí el archivo. El compromiso de un proveedor externo de confianza —un ataque a la cadena de suministro— se considera una vía plausible, pero no está confirmado.

El archivo contiene siete ficheros. Cuatro son componentes auténticos de Patch My PC, una herramienta legítima de gestión de parches para endpoints; su presencia no significa por sí sola que el fabricante haya sido vulnerado, ya que los binarios firmados y de confianza son un camuflaje habitual. Solo uno, Resources.resx, contiene realmente código malicioso. El resto es engranaje:

1. Primera fase. Al ejecutar el legítimo PatchMyPC-ScriptRunner.exe, .NET lee un archivo .config manipulado. Mediante la inyección AppDomainManager —que abusa de la forma en que .NET Framework inicializa el dominio de aplicación al arrancar—, ese archivo obliga al proceso de confianza a cargar Microsoft.HostIntegration.Connectors.dll, que a su vez lee fabric.config y carga Resources.resx. El efecto es similar al DLL side-loading: código hostil ejecutándose dentro de un proceso legítimo.
2. Segunda fase. Resources.resx despliega capa tras capa de XAML, ensamblados .NET y datos JSON codificados, comprimidos y cifrados. Por el camino, la cadena parchea la Antimalware Scan Interface (AMSI) para cegar las herramientas de seguridad, se ejecuta dentro de dllhost.exe y, finalmente, carga un plugin .NET que recopila información del sistema desde el registro y se comunica con su servidor de mando y control (C2) en openaigpt4v[.]com.

Diseñado para la paciencia

NetamLoader está pensado para no llamar la atención:

• espera un tiempo aleatorio de 20 a 40 minutos antes de su primera conexión;
• tras un contacto exitoso, consulta cada 5–6 minutos si hay nuevas tareas XAML, que ejecuta en un AppDomain aislado; si el servidor no responde, permanece inactivo entre 22 y 28 horas;
• borra los archivos extraídos del CAB, junto con los registros de uso de CLR y las entradas de Prefetch de Windows, para eliminar el rastro forense.

Por qué importa

Hasta ahora solo se ha identificado una víctima y la actividad no se ha vinculado a ningún grupo conocido. Tampoco está claro si se comprometió más de un equipo ni si se robaron datos. El país afectado no se ha nombrado oficialmente, pero la versión de Windows 10 exclusiva para el gobierno apunta a China, donde Microsoft ofrece una edición específica, Windows 10 China Government Edition, para organismos públicos y empresas estatales. Pekín habría pedido a algunas agencias que abandonen esa edición en favor de distribuciones Linux de desarrollo nacional.

La lección va mucho más allá de Asia: los atacantes se apoyan cada vez más en el software en el que ya confías. Una herramienta de parches legítima y firmada que se ejecuta desde la carpeta de Windows Update no hace saltar muchas alarmas, y precisamente de eso se trata.

Qué hacer

• Vigila los archivos de configuración .NET. Genera alertas ante archivos *.exe.config nuevos o modificados que declaren un appDomainManagerAssembly o appDomainManagerType personalizado, sobre todo junto a binarios firmados.
• Trata SoftwareDistribution\Download como zona sensible. Ejecutables, archivos CAB o carpetas Install\ que aparezcan allí fuera de un ciclo normal de actualización merecen revisión.
• Busca manipulaciones de AMSI y comportamientos anómalos de dllhost.exe, como la carga de ensamblados .NET o conexiones salientes.
• Señala la actividad antiforense. El borrado masivo de archivos Prefetch y registros de CLR rara vez es inocente.
• Bloquea y busca el dominio C2 openaigpt4v[.]com en los registros de DNS y proxy.
• Revisa tu cadena de suministro de software. Inventaría las herramientas de gestión y parcheo de terceros, limita quién puede distribuir paquetes a través de ellas y verifica qué despliegan realmente.

El abuso de procesos de confianza, como la inyección AppDomainManager, es justo lo que debería poner a prueba una prueba de penetración bien planteada. Nuestro equipo puede emular de forma segura este tipo de técnicas en tu entorno para comprobar si tus controles de endpoint y tu monitorización las detectarían antes que un atacante real.