NetamLoader-Malware nutzt .NET-Injection, um asiatische Regierungs-Windows-Systeme anzugreifen

Cybersecurity-Forscher bei Kaspersky haben eine hochgradig ausgefeilte Malware-Kampagne enthüllt, die sich gegen Regierungsorganisationen in Asien richtet. Der Angriff wurde im ersten Halbjahr 2026 erkannt und setzt ein zuvor nicht dokumentiertes Framework zum Laden von .NET-Assemblys namens NetamLoader ein. Die Intrusion zielt spezifisch auf einen maßgeschneiderten Windows 10-Build ab, der ausschließlich von staatlichen Stellen genutzt wird, was auf eine fokussierte und wertvolle Operation hindeutet.

Was passiert ist

Das schädliche Artefakt wurde in einem Windows-Cabinet-Archiv (CAB) gefunden, das sich in einem Verzeichnis befand, das typischerweise für Update-Pakete des Windows-Betriebssystems reserviert ist. Kaspersky vermutet, dass es sich um eine Lieferkettenattacke handelt, bei der Akteure einen vertrauenswürdigen Drittanbieter kompromittierten, um Zugang zu nachgelagerten Nutzern zu erhalten. Während das genaue Zustellvehikel für das CAB-Archiv unbekannt bleibt, deutet die Platzierung innerhalb der Systemupdate-Ordner auf den Versuch hin, sich mit legitimen administrativen Prozessen zu tarnen.

Der Angriff konnte keinem bestimmten Threat Actor oder keiner Gruppe zugeordnet werden. Es ist auch unklar, ob die Intrusion mehr als ein System kompromittiert hat oder ob sensible Informationen erfolgreich exfiltriert wurden. Telemetriedaten identifizierten ein einzelnes Opfer in Asien, wobei das spezifische Land nicht offengelegt wurde. Hinweise deuten auf China hin, da Microsoft eine maßgeschneiderte Windows 10 China Government Edition für staatsnahe Unternehmen anbietet. Dies deckt sich mit aktuellen Berichten, dass chinesische Behörden aufgrund von Bedenken hinsichtlich der Datensicherheit von ausländischen Betriebssystemen abrücken.

Wie es funktioniert

NetamLoader nutzt eine zweistufige Infektionskette, die AppDomainManager-Injection ausnutzt, eine Technik, die die Initialisierung der Anwendungsdomäne des .NET Frameworks kapert, um beliebigen Code auszuführen. Diese Methode ermöglicht es schädlichem Code, innerhalb des Prozesses einer legitimen Anwendung zu laufen, ähnlich wie beim DLL-Sideloading, und hilft so, Erkennungen zu umgehen. Das CAB-Archiv enthält sieben Dateien, darunter legitime Komponenten der Endpoint-Management-Software Patch My PC. Nur eine Datei, "Resources.resx", enthält schädlichen Code, während die anderen als Lockvögel oder Loader dienen.

Die Ausführung beginnt, wenn "PatchMyPC-ScriptRunner.exe" AppDomainManager-Injection missbraucht, um seine Konfigurationsdatei zu parsen, was das Laden von "Microsoft.HostIntegration.Connectors.dll" auslöst. Diese Komponente parst dann "fabric.config", um "Resources.resx" zu laden, das mehrere Schichten kodierter, komprimierter oder verschlüsselter Payloads enthält. Diese Payloads umfassen XAML-Dateien, .NET-Assemblys und JSON-Daten, die sequenziell dekodiert und geladen werden. Die letzte Stufe umfasst ein .NET-Plugin, das Systeminformationen sammelt, mit einem Command-and-Control-Server unter "openaigpt4v[.]com" kommuniziert und weitere Anweisungen ausführt, die vom Server abgerufen werden.

Wichtige Details

• Ziel: Maßgeschneiderte Windows 10-Builds, die ausschließlich von Regierungsstellen in Asien verwendet werden.
• Erkennung: Erstes Halbjahr 2026 durch Forscher von Kaspersky.
• Technik: AppDomainManager-Injection zum Laden beliebiger .NET-Assemblys innerhalb legitimer Prozesse.
• Payload-Struktur: Mehrschichtiges Encoding unter Verwendung von XAML-Dateien, .NET-Assemblys und JSON-Daten, gespeichert in "Resources.resx".
• Umgehung: Löscht schädliche Dateien, CLR-Nutzungsprotokolle und den Windows-Prefetch-Cache zur Vertuschung; umgeht AMSI unter Verwendung von XAML-2-1.
• C2-Kommunikation: Nutzt "openaigpt4v[.]com" mit Jitter-Verzögerungen von 20–40 Minuten vor dem ersten Kontakt und periodischen Abfrageschleifen.

Warum es wichtig ist

Für Software-Ingenieure und Sicherheitsexperten hebt diese Kampagne die Risiken hervor, die mit komplexen Abhängigkeitsketten und legitimer Tooling verbunden sind. Durch das Einbetten von Malware in anerkannte Endpoint-Management-Software wie Patch My PC nutzen Angreifer das Vertrauen in etablierte Dienstprogramme aus. Dies macht traditionelle signaturbasierte Erkennung weniger effektiv, da die umgebenden Dateien echt sind und nur bestimmte Konfigurationsdateien das schädliche Verhalten auslösen. Entwickler müssen erkennen, dass Kompromittierungen der Lieferkette durch scheinbar harmlose Updates oder Konfigurationsänderungen manifestieren können.

Die Nutzung von AppDomainManager-Injection zeigt ein tiefgreifendes Verständnis der .NET-Runtime-Umgebung. Diese Technik ermöglicht es Angreifern, Code auszuführen, ohne neue Prozesse zu erstellen, was die Verhaltensanalyse erschwert. Für Teams, die interne Tools entwickeln oder Enterprise-Software verwalten, unterstreicht dies die Notwendigkeit rigoroser Integritätsprüfungen für Konfigurationsdateien und Abhängigkeiten. Selbst wenn die binären Ausführungsdateien signiert und verifiziert sind, kann schädliche Logik über Konfigurationsmechanismen injiziert werden, die in Standard-Sicherheitsaudits oft übersehen werden.

Was Sie tun können

• Überwachen Sie Verzeichnisse wie C:\Windows\SoftwareDistribution\Download auf unerwartete CAB-Archive oder Konfigurationsdateien.
• Implementieren Sie strenge Integritätsverifizierungen für alle .config-Dateien und Ressourcen, die von .NET-Anwendungen geladen werden.
• Prüfen und beschränken Sie die Initialisierungseinstellungen des AppDomainManagers, um das Laden unbefugter Assemblys zu verhindern.
• Setzen Sie Endpoint Detection and Response (EDR)-Lösungen ein, die in-memory .NET-Assembly-Ladeverhalten analysieren können.
• Auditiere Sie Sicherheitspraktiken von Drittanbietern und begrenzen Sie Vertrauensgrenzen für Softwareupdates.
• Prüfen Sie ungewöhnlichen Netzwerkverkehr zu Domänen, die legitime Dienste imitieren, wie "openaigpt4v[.]com".