NetamLoader koristi .NET injekciju protiv državnog Windowsa 10
Kaspersky je otkrio malver NetamLoader u napadu na prilagođenu verziju sistema Windows 10 koju koriste isključivo državne institucije u Aziji. Telemetrija je identifikovala jednog pogođenog korisnika, dok napad nije pripisan poznatoj grupi i nije potvrđeno da li je kompromitovano više sistema ili su podaci izneti.
Artefakt je zabeležen u prvoj polovini 2026. godine u CAB arhivi smeštenoj u direktorijumu za pakete Windows ažuriranja. Kaspersky sumnja na napad kroz lanac snabdevanja, odnosno kompromitovanje pouzdanog dobavljača radi pristupa korisnicima njegovog softvera ili usluga, ali tačan način isporuke CAB arhive nije utvrđen.
Legitimne komponente kao početna tačka
Arhiva je bila smeštena na putanji C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24, a sadržaj je raspakovan u C:\Windows\SoftwareDistribution\Download\Install\. Od sedam fajlova u arhivi, četiri su legitimne komponente softvera Patch My PC za upravljanje krajnjim tačkama: PatchMyPC-Enum.dll, PatchMyPC-Models.dll, PatchMyPC-ScriptRunner.exe i PatchMyPC-ScriptRunner.exe.config.
Izvršavanje fajla PatchMyPC-ScriptRunner.exe pokreće lanac. Njegov konfiguracioni fajl zloupotrebljava AppDomainManager injection, tehniku kojom se pri pokretanju .NET aplikacije učitava proizvoljan sklop. Tako se izvršavanje koda prebacuje u proces legitimne aplikacije, sa efektom sličnim DLL sideloadingu.
Učitana biblioteka Microsoft.HostIntegration.Connectors.dll zatim pronalazi fabric.config i učitava Resources.resx. Upravo taj fajl sadrži višestruko kodirane, kompresovane ili šifrovane slojeve: XAML fajlove, .NET sklopove i JSON podatke.
Višeslojno učitavanje i prikrivanje tragova
Druga faza uključuje XAML-1 i XAML-2. XAML-2 učitava dva kompresovana i Base64 kodirana XAML fajla: prvi služi za zaobilaženje AMSI kontrole, a drugi sadrži .NET 1 Loader i JSON-1 podatke. JSON-1 obuhvata konfiguraciju komandno-kontrolnog servera i podatke za .NET 2 Plugin, uz šablone za sastavljanje narednog XAML sloja.
.NET 1 Loader dešifruje, sastavlja i učitava XAML-3, šalje status C2 serveru i briše izdvojene zlonamerne fajlove, CLR zapise korišćenja i Windows Prefetch keš. XAML-3 se izvršava unutar procesa dllhost.exe i učitava .NET 2 Plugin.
Završni dodatak preuzima C2 konfiguraciju, prikuplja sistemske podatke iz Windows registra i proverava da li je aktivni proces dllhost.exe. Pre prvog zahteva domenu openaigpt4v[.]com čeka nasumično 20 do 40 minuta, a zatim periodično preuzima XAML sadržaj i izvršava ga u izolovanom AppDomain okruženju. Kada dobije važeći odgovor, sledeći zahtev odlaže pet do šest minuta; bez odgovora, pauza traje 22 do 28 sati uz proveru na svakih deset minuta.
Operativni zaključak
Ovaj slučaj pokazuje da legitimni alati za upravljanje krajnjim tačkama i očekivane lokacije za Windows ažuriranja mogu poslužiti kao maska za složeno učitavanje .NET tereta. Bez obzira na nepoznat vektor isporuke, bezbednosni timovi treba da istražuju neuobičajene CAB sadržaje u fascikli SoftwareDistribution, neočekivane AppDomainManager konfiguracije, izvršavanje iz dllhost.exe i odložene mrežne zahteve ka nepoznatim domenima.