NetamLoader: um carregador .NET furtivo concebido para um Windows 10 exclusivo de governos

Um framework de malware até agora não documentado, denominado NetamLoader, foi encontrado num sistema governamental na Ásia que corria uma edição personalizada do Windows 10 distribuída apenas a entidades estatais. A cadeia de infeção esconde-se dentro de software legítimo e de confiança e esforça-se ao máximo por passar despercebida — espionagem de manual, embora ainda ninguém tenha identificado o operador.

O que aconteceu

O pacote malicioso surgiu no primeiro semestre de 2026 como um arquivo cabinet do Windows (CAB) colocado em C:\Windows\SoftwareDistribution\Download\ — a pasta onde o Windows prepara as suas próprias atualizações — e extraído para uma subpasta Install\. Esconder-se entre ficheiros de atualização é uma escolha deliberada: poucas pessoas inspecionam esse local manualmente.

Ainda não se sabe como o arquivo lá chegou. O comprometimento de um fornecedor externo de confiança — um ataque à cadeia de fornecimento — é considerado uma via plausível, mas não foi confirmado.

O arquivo contém sete ficheiros. Quatro são componentes genuínos do Patch My PC, uma ferramenta legítima de gestão de patches para endpoints; a sua presença não significa, por si só, que o fabricante tenha sido comprometido, já que binários assinados e de confiança são uma camuflagem habitual. Apenas um, Resources.resx, contém efetivamente código malicioso. O resto é engrenagem:

1. Primeira fase. Ao executar o legítimo PatchMyPC-ScriptRunner.exe, o .NET lê um ficheiro .config adulterado. Através da injeção AppDomainManager — que abusa da forma como o .NET Framework inicializa o domínio da aplicação no arranque — esse ficheiro obriga o processo de confiança a carregar Microsoft.HostIntegration.Connectors.dll, que por sua vez lê fabric.config e carrega Resources.resx. O efeito é semelhante ao DLL side-loading: código hostil a correr dentro de um processo legítimo.
2. Segunda fase. O Resources.resx desdobra camada após camada de XAML, assemblies .NET e dados JSON codificados, comprimidos e cifrados. Pelo caminho, a cadeia altera a Antimalware Scan Interface (AMSI) para cegar as ferramentas de segurança, executa-se dentro do dllhost.exe e, por fim, carrega um plugin .NET que recolhe informações do sistema a partir do registo e comunica com o seu servidor de comando e controlo (C2) em openaigpt4v[.]com.

Concebido para a paciência

O NetamLoader foi pensado para não ser notado:

• espera um intervalo aleatório de 20 a 40 minutos antes da primeira ligação;
• após um contacto bem-sucedido, consulta a cada 5–6 minutos se há novas tarefas XAML, que executa num AppDomain isolado; se o servidor não responder, fica inativo durante 22 a 28 horas;
• apaga os ficheiros extraídos do CAB, bem como os registos de utilização do CLR e as entradas de Prefetch do Windows, para eliminar o rasto forense.

Porque é importante

Até agora foi identificada apenas uma vítima e a atividade não foi associada a nenhum grupo conhecido. Também não é claro se foi comprometida mais do que uma máquina nem se foram roubados dados. O país visado não foi oficialmente identificado, mas a versão do Windows 10 exclusiva para o governo aponta para a China, onde a Microsoft disponibiliza uma edição dedicada, a Windows 10 China Government Edition, para organismos públicos e empresas estatais. Pequim terá pedido a algumas agências que abandonem essa edição em favor de distribuições Linux desenvolvidas no país.

A lição vai muito além da Ásia: os atacantes apoiam-se cada vez mais em software em que já confiamos. Uma ferramenta de patches legítima e assinada, lançada a partir da pasta do Windows Update, não dispara muitos alarmes — e é exatamente esse o objetivo.

O que fazer

• Vigie os ficheiros de configuração .NET. Crie alertas para ficheiros *.exe.config novos ou alterados que declarem um appDomainManagerAssembly ou appDomainManagerType personalizado, sobretudo junto a binários assinados.
• Trate SoftwareDistribution\Download como zona sensível. Executáveis, arquivos CAB ou pastas Install\ que lá surjam fora de um ciclo normal de atualização merecem análise.
• Procure sinais de adulteração da AMSI e comportamentos invulgares do dllhost.exe, como o carregamento de assemblies .NET ou ligações de saída.
• Assinale atividade antiforense. A eliminação em massa de ficheiros Prefetch e de registos do CLR raramente é inocente.
• Bloqueie e pesquise o domínio C2 openaigpt4v[.]com nos registos de DNS e proxy.
• Reveja a sua cadeia de fornecimento de software. Faça o inventário das ferramentas de gestão e de patching de terceiros, restrinja quem pode distribuir pacotes através delas e verifique o que realmente instalam.

O abuso de processos de confiança, como a injeção AppDomainManager, é precisamente o que um teste de intrusão bem delimitado deve pôr à prova. A nossa equipa pode emular de forma segura esta classe de técnicas no seu ambiente para mostrar se os seus controlos de endpoint e a sua monitorização as detetariam antes de um atacante real.