El malware NetamLoader usa inyección .NET para atacar sistemas Windows de gobiernos asiáticos

Investigadores de ciberseguridad de Kaspersky han revelado una campaña de malware altamente sofisticada dirigida a organizaciones gubernamentales en Asia. Detectada durante el primer semestre de 2026, el ataque despliega un framework de carga de ensamblados .NET previamente desconocido llamado NetamLoader. La intrusión apunta específicamente a una versión personalizada de Windows 10 utilizada exclusivamente por entidades gubernamentales, lo que sugiere una operación enfocada y de alto valor.

Qué ocurrió

El artefacto malicioso fue descubierto empaquetado dentro de un archivo de gabinete de Windows (CAB) ubicado en un directorio típicamente reservado para paquetes de actualización del sistema operativo Windows. Kaspersky sospecha que la operación involucró un ataque a la cadena de suministro, donde actores de amenazas comprometieron a un proveedor tercero de confianza para obtener acceso a usuarios downstream. Aunque el vehículo exacto de entrega del archivo CAB sigue siendo desconocido, su ubicación dentro de las carpetas de actualización del sistema indica un intento de mezclarse con procesos administrativos legítimos.

El ataque no ha sido atribuido a ningún actor o grupo de amenazas específico. También es incierto si la intrusión comprometió más de un sistema o si se exfiltró información sensible con éxito. Los datos de telemetría identificaron una sola víctima en Asia, aunque no se divulgó el país específico. Las señales apuntan hacia China, ya que Microsoft ofrece una edición personalizada de Windows 10 Government Edition para China destinada a entidades estatales. Esto coincide con informes recientes de que las agencias chinas están alejándose de los sistemas operativos extranjeros debido a preocupaciones sobre la seguridad de los datos.

Cómo funciona

NetamLoader emplea una cadena de infección de dos etapas que aprovecha la inyección de AppDomainManager, una técnica que secuestra la inicialización del dominio de aplicación del Framework .NET para ejecutar código arbitrario. Este método permite que el código malicioso se ejecute dentro del proceso de una aplicación legítima, similar al sideloading de DLLs, ayudándolo a evadir la detección. El archivo CAB contiene siete archivos, incluyendo componentes legítimos del software de gestión de endpoints Patch My PC. Solo un archivo, "Resources.resx," contiene código malicioso, mientras que los otros sirven como señuelos o cargadores.

La ejecución comienza cuando "PatchMyPC-ScriptRunner.exe" abusa de la inyección de AppDomainManager para analizar su archivo de configuración, desencadenando la carga de "Microsoft.HostIntegration.Connectors.dll." Este componente luego analiza "fabric.config" para cargar "Resources.resx," que contiene múltiples capas de payloads codificados, comprimidos o cifrados. Estos payloads incluyen archivos XAML, ensamblados .NET y datos JSON, que se decodifican y cargan secuencialmente. La etapa final involucra un plugin .NET que recopila información del sistema, se comunica con un servidor de comando y control en "openaigpt4v[.]com," y ejecuta instrucciones adicionales obtenidas del servidor.

Detalles clave

• Objetivo: Versiones personalizadas de Windows 10 utilizadas exclusivamente por entidades gubernamentales en Asia.
• Detección: Primer semestre de 2026 por investigadores de Kaspersky.
• Técnica: Inyección de AppDomainManager para cargar ensamblados .NET arbitrarios dentro de procesos legítimos.
• Estructura del Payload: Codificación multinivel utilizando archivos XAML, ensamblados .NET y datos JSON almacenados en "Resources.resx."
• Evasión: Elimina archivos maliciosos, registros de uso de CLR y caché Prefetch de Windows para cubrir sus huellas; evade AMSI usando XAML-2-1.
• Comunicación C2: Utiliza "openaigpt4v[.]com" con retrasos de jitter de 20-40 minutos antes del contacto inicial y bucles de sondeo periódicos.

Por qué importa

Para ingenieros de software y profesionales de seguridad, esta campaña destaca los riesgos asociados con cadenas de dependencias complejas y herramientas legítimas. Al incrustar malware dentro de software reconocido de gestión de endpoints como Patch My PC, los atacantes explotan la confianza en utilidades establecidas. Esto hace que la detección tradicional basada en firmas sea menos efectiva, ya que los archivos circundantes son genuinos y solo ciertos archivos de configuración activan el comportamiento malicioso. Los desarrolladores deben reconocer que los compromisos de la cadena de suministro pueden manifestarse a través de actualizaciones o cambios de configuración aparentemente benignos.

El uso de la inyección de AppDomainManager demuestra un profundo conocimiento del entorno de ejecución de .NET. Esta técnica permite a los atacantes ejecutar código sin crear nuevos procesos, haciendo el análisis de comportamiento más desafiante. Para equipos que construyen herramientas internas o gestionan software empresarial, esto subraya la necesidad de rigurosas verificaciones de integridad sobre archivos de configuración y dependencias. Incluso si los ejecutables binarios están firmados y verificados, la lógica maliciosa puede ser inyectada a través de mecanismos de configuración que a menudo pasan desapercibidos en auditorías de seguridad estándar.

Qué puedes hacer

• Monitorea directorios como C:\Windows\SoftwareDistribution\Download para detectar archivos CAB inesperados o archivos de configuración.
• Implementa una estricta verificación de integridad para todos los archivos .config y recursos cargados por aplicaciones .NET.
• Revisa y restringe la configuración de inicialización de AppDomainManager para prevenir la carga no autorizada de ensamblados.
• Despliega soluciones de detección y respuesta en endpoints (EDR) capaces de analizar comportamientos de carga de ensamblados .NET en memoria.
• Audita las prácticas de seguridad de proveedores terceros y limita los límites de confianza para las actualizaciones de software.
• Verifica tráfico de red inusual hacia dominios que se asemejen a servicios legítimos, como "openaigpt4v[.]com."