A Kaspersky divulgou detalhes de uma sofisticada cadeia de infecção que tem como alvo organizações governamentais na Ásia. A operação implantou uma estrutura de carregamento de assemblies .NET anteriormente não documentada, que os pesquisadores nomearam NetamLoader, contra uma versão personalizada do Windows 10 reservada para uso governamental.
A atividade foi detectada durante o primeiro semestre de 2026. A Kaspersky identificou uma única vítima na Ásia, mas não determinou se a intrusão afetou sistemas adicionais ou resultou no roubo de informações sensíveis. O ataque também não foi associado a nenhum agente ou grupo de ameaças conhecido.
O malware foi empacotado em um arquivo de gabinete do Windows colocado em um diretório usado para pacotes de atualização do Windows. Os pesquisadores suspeitam de um possível comprometimento da cadeia de suprimentos envolvendo um fornecedor terceirizado confiável, embora o método exato de entrega não tenha sido estabelecido.
O arquivo continha sete arquivos, incluindo componentes legítimos associados ao Patch My PC, um aplicativo de gerenciamento de endpoints. O principal arquivo de execução, PatchMyPC-ScriptRunner.exe, usou seu arquivo de configuração para acionar a injeção de AppDomainManager e carregar o Microsoft.HostIntegration.Connectors.dll. Esse componente então processou outro arquivo de configuração e carregou o Resources.resx.
A injeção de AppDomainManager explora o processo de inicialização dos domínios de aplicativos do .NET Framework para carregar assemblies arbitrários. Nesse caso, a técnica permitiu que código malicioso fosse executado dentro de um processo de aplicativo legítimo, uma abordagem comparável, em efeito, ao sideloading de DLLs.
O Resources.resx continha várias camadas de conteúdo codificado, compactado ou criptografado, incluindo arquivos XAML, assemblies .NET e dados JSON. As etapas seguintes incluíam carregadores projetados para contornar a Antimalware Scan Interface, descriptografar e montar cargas úteis adicionais e carregar um plugin .NET.
Os componentes finais foram projetados para ser executados por meio do dllhost.exe. O plugin .NET leu dados de configuração do comando e controle, coletou informações do Registro do Windows e verificou se o processo atual era o dllhost.exe. Em seguida, aguardou entre 20 e 40 minutos antes de fazer sua primeira solicitação ao servidor de comando e controle identificado pela Kaspersky como openaigpt4v[.]com.
Depois disso, o malware entrou em um ciclo de consulta para recuperar e executar arquivos XAML dentro de um AppDomain isolado. Quando recebia uma resposta válida, aguardava de cinco a seis minutos antes de fazer outra solicitação. Se nenhuma resposta válida chegasse, o intervalo se estendia para entre 22 e 28 horas, com verificações a cada 10 minutos.
O NetamLoader também incluía medidas destinadas a ocultar a intrusão. Seus componentes excluíam os arquivos maliciosos extraídos do arquivo CAB, além dos logs de uso do CLR e dos arquivos de cache do Windows Prefetch.
A Kaspersky não identificou o país visado. No entanto, os pesquisadores disseram que o uso de uma versão do Windows 10 específica para governos poderia indicar a China, que possui uma versão conhecida como Windows 10 China Government Edition para órgãos governamentais e organizações estatais. Essa avaliação foi apresentada como uma possibilidade, e não como uma atribuição confirmada.
Fontes: The Hacker News.