Kaspersky hat Einzelheiten zu einer ausgeklügelten Infektionskette veröffentlicht, die sich gegen staatliche Organisationen in Asien richtet. Bei der Operation wurde ein zuvor undokumentiertes .NET-Framework zum Laden von Assemblies eingesetzt, das die Forscher NetamLoader nannten und das gegen eine angepasste Windows-10-Version verwendet wurde, die der staatlichen Nutzung vorbehalten ist.
Die Aktivitäten wurden in der ersten Hälfte des Jahres 2026 entdeckt. Kaspersky identifizierte ein einzelnes Opfer in Asien, konnte jedoch nicht feststellen, ob weitere Systeme betroffen waren oder ob es zum Diebstahl vertraulicher Informationen kam. Der Angriff wurde außerdem keinem bekannten Bedrohungsakteur oder keiner bekannten Gruppe zugeordnet.
Die Malware war in einem Windows-Cabinet-Archiv verpackt, das in einem Verzeichnis abgelegt wurde, das für Windows-Updatepakete verwendet wird. Die Forscher vermuten eine mögliche Kompromittierung der Lieferkette unter Beteiligung eines vertrauenswürdigen Drittanbieters, obwohl die genaue Bereitstellungsmethode nicht ermittelt werden konnte.
Das Archiv enthielt sieben Dateien, darunter legitime Komponenten im Zusammenhang mit Patch My PC, einer Anwendung zur Verwaltung von Endgeräten. Die zentrale Ausführungsdatei, PatchMyPC-ScriptRunner.exe, verwendete ihre Konfigurationsdatei, um eine AppDomainManager-Injektion auszulösen und Microsoft.HostIntegration.Connectors.dll zu laden. Diese Komponente verarbeitete anschließend eine weitere Konfigurationsdatei und lud Resources.resx.
Bei der AppDomainManager-Injektion wird der Initialisierungsprozess von .NET-Framework-Anwendungsdomänen missbraucht, um beliebige Assemblies zu laden. In diesem Fall ermöglichte die Technik die Ausführung von Schadcode innerhalb eines legitimen Anwendungsprozesses – ein Ansatz, der in seiner Wirkung dem DLL-Sideloading vergleichbar ist.
Resources.resx enthielt mehrere Ebenen kodierter, komprimierter oder verschlüsselter Inhalte, darunter XAML-Dateien, .NET-Assemblies und JSON-Daten. Zu den nachfolgenden Stufen gehörten Loader, die darauf ausgelegt waren, die Antimalware Scan Interface zu umgehen, zusätzliche Payloads zu entschlüsseln und zusammenzusetzen sowie ein .NET-Plugin zu laden.
Die finalen Komponenten waren für die Ausführung über dllhost.exe konzipiert. Das .NET-Plugin las die Konfigurationsdaten für die Command-and-Control-Kommunikation, sammelte Informationen aus der Windows-Registrierung und prüfte, ob der aktuelle Prozess dllhost.exe war. Anschließend wartete es zwischen 20 und 40 Minuten, bevor es seine erste Anfrage an den von Kaspersky als openaigpt4v[.]com identifizierten Command-and-Control-Server stellte.
Danach trat die Malware in einen Abrufzyklus ein, um XAML-Dateien innerhalb einer isolierten AppDomain abzurufen und auszuführen. Wenn sie eine gültige Antwort erhielt, wartete sie fünf bis sechs Minuten, bevor sie eine weitere Anfrage stellte. Traf keine gültige Antwort ein, verlängerte sich das Intervall auf 22 bis 28 Stunden, wobei alle 10 Minuten Prüfungen durchgeführt wurden.
NetamLoader enthielt außerdem Maßnahmen, die den Angriff verschleiern sollten. Seine Komponenten löschten aus dem CAB-Archiv extrahierte Schaddateien sowie CLR-Nutzungsprotokolle und Windows-Prefetch-Cachedateien.
Kaspersky konnte das Zielland nicht identifizieren. Die Forscher erklärten jedoch, dass die Verwendung einer regierungsspezifischen Windows-10-Version auf China hindeuten könnte, das über eine als Windows 10 China Government Edition bekannte Version für staatliche Stellen und staatseigene Organisationen verfügt. Diese Einschätzung wurde als Möglichkeit und nicht als bestätigte Zuordnung präsentiert.
Quellen: The Hacker News.