Kaspersky a divulgué des détails concernant une chaîne d’infection sophistiquée ciblant des organisations gouvernementales en Asie. L’opération a déployé un framework inédit de chargement d’assemblages .NET, baptisé NetamLoader par les chercheurs, contre une version personnalisée de Windows 10 réservée à l’usage gouvernemental.
L’activité a été détectée au cours du premier semestre 2026. Kaspersky a identifié une seule victime en Asie, mais n’a pas déterminé si l’intrusion avait touché d’autres systèmes ou entraîné le vol d’informations sensibles. L’attaque n’a pas non plus été attribuée à un acteur ou à un groupe malveillant connu.
Le logiciel malveillant était empaqueté dans une archive cabinet Windows placée dans un répertoire utilisé pour les paquets de mise à jour de Windows. Les chercheurs soupçonnent une possible compromission de la chaîne d’approvisionnement impliquant un fournisseur tiers de confiance, bien que le mode de diffusion exact n’ait pas été établi.
L’archive contenait sept fichiers, dont des composants légitimes associés à Patch My PC, une application de gestion des terminaux. Le principal fichier d’exécution, PatchMyPC-ScriptRunner.exe, utilisait son fichier de configuration pour déclencher une injection d’AppDomainManager et charger Microsoft.HostIntegration.Connectors.dll. Ce composant traitait ensuite un autre fichier de configuration et chargeait Resources.resx.
L’injection d’AppDomainManager détourne le processus d’initialisation du domaine d’application du .NET Framework afin de charger des assemblages arbitraires. Dans ce cas, cette technique permettait au code malveillant de s’exécuter au sein d’un processus d’application légitime, selon une approche comparable, par ses effets, au DLL sideloading.
Resources.resx contenait plusieurs couches de contenu encodé, compressé ou chiffré, notamment des fichiers XAML, des assemblages .NET et des données JSON. Les étapes suivantes comprenaient des chargeurs conçus pour contourner l’Antimalware Scan Interface, déchiffrer et assembler d’autres charges utiles, puis charger un plugin .NET.
Les composants finaux étaient conçus pour s’exécuter via dllhost.exe. Le plugin .NET lisait les données de configuration du serveur de commande et de contrôle, recueillait des informations dans le Registre Windows et vérifiait si le processus actuel était dllhost.exe. Il attendait ensuite entre 20 et 40 minutes avant d’effectuer sa première requête vers le serveur de commande et de contrôle identifié par Kaspersky comme étant openaigpt4v[.]com.
Par la suite, le logiciel malveillant entrait dans un cycle d’interrogation afin de récupérer et d’exécuter des fichiers XAML au sein d’un AppDomain isolé. Lorsqu’il recevait une réponse valide, il attendait cinq à six minutes avant d’effectuer une nouvelle requête. Si aucune réponse valide n’arrivait, l’intervalle s’allongeait pour atteindre entre 22 et 28 heures, avec des vérifications toutes les 10 minutes.
NetamLoader comportait également des mesures destinées à dissimuler l’intrusion. Ses composants supprimaient les fichiers malveillants extraits de l’archive CAB, ainsi que les journaux d’utilisation du CLR et les fichiers du cache Windows Prefetch.
Kaspersky n’a pas identifié le pays ciblé. Toutefois, les chercheurs ont indiqué que l’utilisation d’une version de Windows 10 spécifique au gouvernement pourrait évoquer la Chine, qui dispose d’une version connue sous le nom de Windows 10 China Government Edition destinée aux organismes gouvernementaux et aux organisations publiques. Cette évaluation a été présentée comme une possibilité et non comme une attribution confirmée.
Sources: The Hacker News.