Vorbește cu un expert
PrețuriNoutățiVorbește cu un expert
Înapoi la Noutăți
Amenințări

NetamLoader: malware .NET discret lovește o versiune Windows 10 guvernamentală din Asia

Un framework malware .NET necunoscut până acum s-a ascuns în fișiere legitime de patch management pentru a ținti o versiune Windows 10 destinată exclusiv guvernului, într-o țară asiatică.

4T4Tify Team4Tify
Nov 1, 2026·5 min citire
NetamLoader: malware .NET discret lovește o versiune Windows 10 guvernamentală din Asia

NetamLoader: un loader .NET discret, construit pentru un Windows 10 rezervat guvernului

Un framework malware nedocumentat până acum, denumit NetamLoader, a fost descoperit pe un sistem guvernamental din Asia, care rula o ediție personalizată de Windows 10 distribuită exclusiv instituțiilor de stat. Lanțul de infectare se ascunde în software legitim, de încredere, și face eforturi considerabile să rămână invizibil — un instrument tipic de spionaj, chiar dacă nimeni nu a identificat încă atacatorul.

Ce s-a întâmplat

Pachetul malițios a apărut în prima jumătate a lui 2026 sub forma unei arhive Windows cabinet (CAB), plasată în C:\Windows\SoftwareDistribution\Download\ — directorul în care Windows își pregătește propriile actualizări — și dezarhivată într-un subdirector Install\. Alegerea nu e întâmplătoare: puțini administratori verifică manual acel loc.

Nu se știe încă cum a ajuns arhiva acolo. Compromiterea unui furnizor terț de încredere — un atac de tip supply chain — este considerată o variantă plauzibilă, dar nu a fost confirmată.

Arhiva conține șapte fișiere. Patru sunt componente autentice ale Patch My PC, un instrument legitim de gestionare a actualizărilor pe endpoint-uri; prezența lor nu înseamnă în sine că producătorul a fost compromis, fiindcă binarele semnate și de încredere sunt un camuflaj preferat. Doar un singur fișier, Resources.resx, conține efectiv cod malițios. Restul sunt piese de legătură:

  1. Etapa întâi. Rularea executabilului legitim PatchMyPC-ScriptRunner.exe face ca .NET să citească un fișier .config modificat. Prin AppDomainManager injection — abuzarea modului în care .NET Framework inițializează domeniul aplicației la pornire — acest fișier forțează procesul de încredere să încarce Microsoft.HostIntegration.Connectors.dll, care citește apoi fabric.config și încarcă Resources.resx. Efectul seamănă cu DLL side-loading: cod ostil rulează într-un proces legitim.
  2. Etapa a doua. Resources.resx desface strat după strat de XAML, assembly-uri .NET și date JSON codificate, comprimate și criptate. Pe parcurs, lanțul modifică Antimalware Scan Interface (AMSI) pentru a orbi soluțiile de securitate, rulează în interiorul dllhost.exe și încarcă în final un plugin .NET care colectează informații despre sistem din registry și comunică cu serverul de comandă și control (C2) openaigpt4v[.]com.

Construit pentru răbdare

NetamLoader este gândit să nu fie observat:

  • așteaptă aleatoriu 20–40 de minute înainte de prima conexiune către server;
  • după un contact reușit, verifică la fiecare 5–6 minute dacă există noi sarcini XAML, pe care le rulează într-un AppDomain izolat; dacă serverul nu răspunde, intră în repaus 22–28 de ore;
  • șterge fișierele extrase din CAB, jurnalele de utilizare CLR și intrările Windows Prefetch, ca să elimine urmele.

De ce contează

Până acum a fost identificată o singură victimă, iar activitatea nu a fost legată de niciun grup cunoscut. Nu este clar nici dacă au fost compromise mai multe sisteme sau dacă au fost sustrase date. Țara vizată nu a fost numită oficial, însă versiunea de Windows 10 rezervată guvernului indică China, unde Microsoft oferă o ediție dedicată, Windows 10 China Government Edition, pentru instituțiile de stat și companiile de stat. Beijingul ar fi cerut unor agenții să renunțe la această ediție în favoarea unor distribuții Linux dezvoltate local.

Lecția este valabilă mult dincolo de Asia: atacatorii se folosesc tot mai des de software în care ai deja încredere. Un instrument de patching legitim și semnat, pornit din directorul Windows Update, nu declanșează multe alarme — și exact asta urmăresc.

Ce e de făcut

  • Monitorizați fișierele de configurare .NET. Generați alerte pentru fișiere *.exe.config noi sau modificate care declară un appDomainManagerAssembly sau appDomainManagerType personalizat, mai ales lângă binare semnate.
  • Tratați SoftwareDistribution\Download ca zonă sensibilă. Executabilele, arhivele CAB sau directoarele Install\ apărute acolo în afara unui ciclu normal de actualizare merită verificate.
  • Căutați semne de manipulare a AMSI și comportament neobișnuit al dllhost.exe, cum ar fi încărcarea de assembly-uri .NET sau conexiuni către exterior.
  • Semnalați acțiunile anti-forensic. Ștergerea în masă a fișierelor Prefetch și a jurnalelor CLR rareori este nevinovată.
  • Blocați și căutați domeniul C2 openaigpt4v[.]com în jurnalele DNS și proxy.
  • Verificați lanțul de aprovizionare software. Inventariați instrumentele terțe de management și patching, restricționați cine poate distribui pachete prin ele și verificați ce instalează efectiv.

Abuzul de procese de încredere, precum AppDomainManager injection, este exact ce ar trebui să verifice un test de penetrare bine definit. Echipa noastră poate emula în siguranță această clasă de tehnici în mediul dumneavoastră, pentru a arăta dacă soluțiile de protecție a endpoint-urilor și monitorizarea le-ar detecta înaintea unui atacator real.

DISTRIBUIE