Неизвестные хакеры подготовили вредоносный фреймворк специально для модифицированной Windows 10, которой пользуются государственные организации в одной из стран Азии. NetamLoader запускает дополнительный код через легитимные компоненты, мешает работе антивирусной проверки, заметает следы в системных журналах и способен часами молчать перед первым подключением к серверу злоумышленников.
Специалисты «Лаборатории Касперского» обнаружили атаку в первой половине 2026 года. Защитная система заметила необычный конфигурационный файл внутри CAB-архива, который находился в каталоге Windows для загруженных пакетов обновлений. Дальнейший анализ привёл к ранее неизвестному фреймворку NetamLoader.
Архив выглядел почти безобидно. Большинство исполняемых файлов принадлежали легитимному инструменту управления обновлениями Patch My PC, а задействованные библиотеки .NET имели цифровую подпись Microsoft. Вредоносный код находился только в файле Resources.resx, а изменённые конфигурационные файлы заставляли доверенные компоненты загрузить скрытую начинку.
Такое сочетание заставило исследователей предположить возможную атаку на цепочку поставок, когда злоумышленники добираются до цели через программное обеспечение, обновления или другие доверенные компоненты. Подтвердить компрометацию инфраструктуры Patch My PC специалисты не смогли. Неизвестным остаётся и способ, которым заражённый CAB-архив попал на компьютер жертвы.
После запуска PatchMyPC-ScriptRunner.exe вредоносная цепочка задействует механизм AppDomainManager в .NET, чтобы загрузить дополнительные компоненты ещё до выполнения основной функции программы. Затем NetamLoader проходит через несколько слоёв Base64-кодирования, ZIP-сжатия, шифрования и XAML-кода. Для одного из этапов применяется небезопасная десериализация BinaryFormatter, позволяющая передать выполнение следующей полезной нагрузке.
XAML обычно используют для описания интерфейсов приложений .NET, однако возможности технологии позволяют создавать гораздо более сложную логику. NetamLoader пользуется такой особенностью для выполнения кода непосредственно в памяти, не сохраняя обычный исполняемый файл для каждого следующего этапа.
Отдельный модуль вмешивается в работу AMSI, встроенного в Windows интерфейса для проверки скриптов и другого выполняемого содержимого средствами защиты. Вредонос перенаправляет функцию сканирования таким образом, чтобы проверка возвращала результат AMSI_RESULT_CLEAN. Строки, способные выдать вмешательство, разработчики NetamLoader разбили на короткие фрагменты и собирают непосредственно во время выполнения.
Следующий этап посвящён уничтожению следов. NetamLoader удаляет файлы, оставшиеся после первоначального запуска, очищает журналы использования .NET и кэш Prefetch, а также редактирует записи собственного компонента обновления модифицированной Windows. В логах исследователи нашли путь с названием CmitUpdateAgent, который связан со специальной сборкой операционной системы, однако страну и владельца платформы специалисты не называют.
Фреймворк дополнительно отключает регистрацию части событий .NET через ETW и переносит дальнейшее выполнение в легитимный процесс dllhost.exe. Такой разрыв первоначальной цепочки процессов затрудняет поведенческое обнаружение средствами EDR.
После закрепления NetamLoader собирает версию .NET Framework и номер сборки Windows, создаёт уникальные идентификаторы заражения и готовится связаться с управляющим сервером. Вредонос умеет находить системный прокси сразу несколькими способами, поэтому способен выходить в интернет даже из корпоративных сетей со сложной конфигурацией доступа.
Перед первым сетевым запросом NetamLoader случайным образом ждёт от 20 до 40 минут. Задержка помогает переждать автоматические песочницы, которые обычно наблюдают за программой ограниченное время. Если управляющий сервер не отвечает, следующая попытка происходит только через 22–28 часов. Через примерно 28 часов один из компонентов завершает собственную работу.
Связь с управляющей инфраструктурой защищена AES-CBC и HMAC-SHA256, а сервер может передавать новые XAML-модули для выполнения в отдельном изолированном AppDomain. В исследованной конфигурации использовался домен openaigpt4v[.]com, зарегистрированный ещё в сентябре 2023 года и работавший через инфраструктуру Cloudflare.
Телеметрия позволила обнаружить только одну заражённую систему в Азии. Анализ вредоносного кода показал, что разработчики учитывали особенности конкретной модифицированной Windows 10 и даже удаляли записи из её собственного механизма обновления. На основании таких признаков исследователи считают целью государственные организации, использующие специальную сборку системы.
Связать NetamLoader с известной APT-группировкой пока не удалось. Анализ инфраструктуры, кода и приёмов атаки не дал достаточных оснований для атрибуции. Неизвестными остаются также первоначальный способ проникновения и конечная задача загружаемых модулей, поэтому исследование раскрывает механизм скрытой доставки кода, но не позволяет определить полный замысел операции.