Kaspersky ha divulgato i dettagli di una sofisticata catena d’infezione che prende di mira organizzazioni governative in Asia. L’operazione ha impiegato un framework di caricamento di assembly .NET precedentemente non documentato, denominato dai ricercatori NetamLoader, contro una versione personalizzata di Windows 10 riservata all’uso governativo.
L’attività è stata rilevata durante la prima metà del 2026. Kaspersky ha identificato una singola vittima in Asia, ma non ha stabilito se l’intrusione abbia interessato sistemi aggiuntivi o abbia comportato il furto di informazioni sensibili. L’attacco non è stato inoltre collegato ad alcun attore o gruppo di minacce noto.
Il malware era inserito in un archivio cabinet di Windows collocato in una directory utilizzata per i pacchetti di aggiornamento di Windows. I ricercatori sospettano una possibile compromissione della catena di approvvigionamento che coinvolgerebbe un fornitore terzo affidabile, sebbene il metodo esatto di distribuzione non sia stato stabilito.
L’archivio conteneva sette file, inclusi componenti legittimi associati a Patch My PC, un’applicazione per la gestione degli endpoint. Il file principale di esecuzione, PatchMyPC-ScriptRunner.exe, utilizzava il proprio file di configurazione per attivare l’iniezione tramite AppDomainManager e caricare Microsoft.HostIntegration.Connectors.dll. Quel componente elaborava quindi un altro file di configurazione e caricava Resources.resx.
L’iniezione tramite AppDomainManager sfrutta il processo di inizializzazione del dominio applicativo del .NET Framework per caricare assembly arbitrari. In questo caso, la tecnica consentiva l’esecuzione di codice dannoso all’interno del processo di un’applicazione legittima, con un effetto paragonabile al DLL sideloading.
Resources.resx conteneva diversi livelli di contenuti codificati, compressi o crittografati, inclusi file XAML, assembly .NET e dati JSON. Le fasi successive includevano loader progettati per aggirare l’Antimalware Scan Interface, decifrare e assemblare payload aggiuntivi e caricare un plugin .NET.
I componenti finali erano progettati per essere eseguiti tramite dllhost.exe. Il plugin .NET leggeva i dati di configurazione del comando e controllo, raccoglieva informazioni dal Registro di Windows e verificava se il processo corrente fosse dllhost.exe. Attendeva quindi tra 20 e 40 minuti prima di effettuare la prima richiesta al server di comando e controllo identificato da Kaspersky come openaigpt4v[.]com.
Successivamente, il malware entrava in un ciclo di polling per recuperare ed eseguire file XAML all’interno di un AppDomain isolato. Quando riceveva una risposta valida, attendeva da cinque a sei minuti prima di effettuare un’altra richiesta. Se non arrivava alcuna risposta valida, l’intervallo si estendeva tra 22 e 28 ore, con controlli ogni 10 minuti.
NetamLoader includeva inoltre misure finalizzate a nascondere l’intrusione. I suoi componenti eliminavano i file dannosi estratti dall’archivio CAB, nonché i log di utilizzo del CLR e i file della cache di Windows Prefetch.
Kaspersky non ha identificato il Paese preso di mira. Tuttavia, i ricercatori hanno affermato che l’uso di una versione di Windows 10 specifica per il governo potrebbe indicare la Cina, che dispone di una versione nota come Windows 10 China Government Edition per gli enti governativi e le organizzazioni statali. Tale valutazione è stata presentata come una possibilità, non come un’attribuzione confermata.
Fonti: The Hacker News.