Неизвестные хакеры атаковали специальную версию Windows 10, предназначенную для государственных учреждений в Азии. Вредонос NetamLoader прятался среди компонентов обновления системы, использовал подписанные библиотеки Microsoft и обходил защиту Windows.
Специалисты «Лаборатории Касперского» обнаружили подозрительный файл в первой половине 2026 года. Антивирусная система заметила необычную конфигурацию .NET внутри CAB-архива в каталоге Windows SoftwareDistribution. Первоначальная проверка не выявила вредоносного кода. Большинство файлов принадлежали легальному инструменту Patch My PC, а библиотеки Microsoft имели действительные цифровые подписи.
Повторный анализ раскрыл многоступенчатую цепочку заражения. Исполняемый файл PatchMyPC-ScriptRunner.exe запускался вместе с изменённой конфигурацией, которая задействовала механизм AppDomainManager. Через уязвимое поведение штатного класса Microsoft программа загружала файл Resources.resx со скрытым содержимым. Внутри находились зашифрованные компоненты, запускаемые последовательно.
Главным инструментом стал NetamLoader, использующий XAML, язык разметки интерфейсов .NET, для выполнения вредоносных операций. Злоумышленники спрятали дополнительные XAML-файлы, программные сборки и настройки в несколько слоёв кодирования, сжатия и шифрования. Один из ключей AES вычислялся из командной строки запуска, поэтому неправильные параметры мешали расшифровать содержимое.
Следующий компонент обходил AMSI, интерфейс Windows для антивирусной проверки сценариев. Вместо простого отключения защиты вредонос менял указатель метода сканирования в таблице виртуальных функций. После подмены проверки возвращали результат AMSI_RESULT_CLEAN, обозначающий отсутствие угрозы. Подобные методы обхода защиты встречались и в других атаках.
Затем NetamLoader проверял права администратора, удалял временные файлы, записи об обновлениях и следы запуска из журналов Windows. Через COM и механизм десериализации вредонос переносил следующую часть кода в процесс dllhost.exe. Такой переход разрывал первоначальную цепочку процессов и затруднял обнаружение средствами EDR, отслеживающими подозрительное поведение программ.
После закрепления внутри dllhost.exe загрузчик собирал сведения о Windows и .NET, искал настройки прокси-сервера и готовил защищённое соединение с управляющей инфраструктурой. Для обмена применялись AES-128-CBC и HMAC-SHA256. Перед первым подключением программа могла выдерживать паузу от 20 до 40 минут, а при отсутствии ответа откладывала повторный запрос на 22–28 часов.
В техническом разборе исследователи указали управляющий домен openaigpt4v[.]com. Несмотря на название, подтверждённой связи домена с OpenAI нет. По телеметрии Kaspersky удалось обнаружить только одну жертву в Азии. На государственное назначение системы указывает каталог CmitUpdateAgent, связанный, предположительно, со специально адаптированной сборкой Windows 10.
Исследователи допускают атаку через цепочку поставок, но не наблюдали, каким способом CAB-архив попал на компьютер. Связать NetamLoader с известной APT-группировкой также не удалось. Случай напоминает прежние атаки на обновления, когда доверенный механизм доставки программ превращался в канал проникновения. Здесь особую опасность представляло сочетание штатных компонентов Windows и тщательно скрытого кода.