NetamLoader атакует правительственные системы в Азии через внедрение .NET
Исследователи обнаружили ранее не описанный загрузчик, рассчитанный на специализированную сборку Windows 10 для государственных организаций. Известна одна жертва, а способ первоначального проникновения и организаторы атаки пока не установлены.
Исследователи «Лаборатории Касперского» сообщили о сложной цепочке заражения, нацеленной на государственные организации в Азии. В атаке используется ранее не описанный фреймворк загрузки .NET-сборок NetamLoader; его обнаружили в первой половине 2026 года.
По данным исследователей, вредоносный компонент был упакован в CAB-архив и размещён в каталоге Windows, где хранятся пакеты обновлений ОС. Как именно архив попал на устройство, неизвестно. Исследователи допускают компрометацию цепочки поставок — например, взлом доверенного стороннего поставщика.
В архиве находились семь файлов, среди которых были легитимные компоненты системы управления конечными устройствами Patch My PC. Вредоносная цепочка запускается через PatchMyPC-ScriptRunner.exe: конфигурационный файл применяет технику AppDomainManager injection, позволяющую загрузить произвольную .NET-сборку при старте приложения. Таким образом код выполняется внутри процесса легитимной программы.
Далее загрузчик извлекает и расшифровывает несколько уровней полезной нагрузки, включая XAML-файлы, .NET-сборки и JSON-данные. Один из компонентов предназначен для обхода интерфейса AMSI.
Финальная нагрузка запускается в процессе dllhost.exe, собирает сведения о системе из реестра Windows и связывается с управляющим сервером openaigpt4v[.]com. Перед первым запросом она выжидает случайный интервал от 20 до 40 минут. При успешном ответе сервера следующие обращения происходят через 5–6 минут; при отсутствии ответа — спустя 22–28 часов. Загрузчик также удаляет извлечённые из архива файлы, журналы использования CLR и записи Prefetch, затрудняя расследование.
Телеметрия «Лаборатории Касперского» выявила одну жертву в Азии. NetamLoader рассчитан на специализированную сборку Windows 10, применяемую исключительно государственными структурами. Атаку пока не связали ни с одной известной группировкой; также неизвестно, были ли скомпрометированы другие системы и получили ли злоумышленники доступ к чувствительным данным.