Kaspersky ha divulgado detalles de una sofisticada cadena de infección dirigida contra organizaciones gubernamentales en Asia. La operación desplegó un marco de carga de ensamblados .NET no documentado previamente, al que los investigadores denominaron NetamLoader, contra una versión personalizada de Windows 10 reservada para uso gubernamental.

La actividad fue detectada durante la primera mitad de 2026. Kaspersky identificó a una única víctima en Asia, pero no ha determinado si la intrusión afectó a sistemas adicionales o provocó el robo de información sensible. El ataque tampoco ha sido vinculado con ningún actor o grupo de amenazas conocido.

El malware estaba empaquetado en un archivo de gabinete de Windows ubicado en un directorio utilizado para los paquetes de actualización de Windows. Los investigadores sospechan de un posible compromiso de la cadena de suministro que involucraría a un proveedor externo de confianza, aunque no se ha establecido el método exacto de distribución.

El archivo contenía siete elementos, incluidos componentes legítimos asociados con Patch My PC, una aplicación de gestión de endpoints. El archivo principal de ejecución, PatchMyPC-ScriptRunner.exe, utilizaba su archivo de configuración para activar la inyección de AppDomainManager y cargar Microsoft.HostIntegration.Connectors.dll. Ese componente procesaba después otro archivo de configuración y cargaba Resources.resx.

La inyección de AppDomainManager abusa del proceso de inicialización del dominio de aplicación del .NET Framework para cargar ensamblados arbitrarios. En este caso, la técnica permitió ejecutar código malicioso dentro de un proceso de aplicación legítimo, un enfoque comparable en sus efectos a la carga lateral de DLL.

Resources.resx contenía varias capas de contenido codificado, comprimido o cifrado, incluidos archivos XAML, ensamblados .NET y datos JSON. Las etapas posteriores incluían cargadores diseñados para eludir la Interfaz de Exploración Antimalware, descifrar y ensamblar cargas útiles adicionales, y cargar un complemento .NET.

Los componentes finales estaban diseñados para ejecutarse mediante dllhost.exe. El complemento .NET leía datos de configuración del comando y control, recopilaba información del Registro de Windows y comprobaba si el proceso actual era dllhost.exe. Después esperaba entre 20 y 40 minutos antes de realizar su primera solicitud al servidor de comando y control identificado por Kaspersky como openaigpt4v[.]com.

Posteriormente, el malware entraba en un ciclo de consulta para recuperar y ejecutar archivos XAML dentro de un AppDomain aislado. Cuando recibía una respuesta válida, esperaba entre cinco y seis minutos antes de realizar otra solicitud. Si no llegaba ninguna respuesta válida, el intervalo se ampliaba a entre 22 y 28 horas, con comprobaciones cada 10 minutos.

NetamLoader también incluía medidas destinadas a ocultar la intrusión. Sus componentes eliminaban los archivos maliciosos extraídos del archivo CAB, así como los registros de uso de CLR y los archivos de caché de Windows Prefetch.

Kaspersky no identificó el país atacado. Sin embargo, los investigadores afirmaron que el uso de una versión específica de Windows 10 para organismos gubernamentales podría indicar a China, que cuenta con una versión conocida como Windows 10 China Government Edition para organismos gubernamentales y organizaciones estatales. Esa evaluación se presentó como una posibilidad, no como una atribución confirmada.

Fuentes: The Hacker News.