Le malware NetamLoader utilise l'injection .NET pour cibler les systèmes Windows gouvernementaux en Asie

Les chercheurs en cybersécurité de Kaspersky ont révélé une campagne de malware très sophistiquée ciblant des organisations gouvernementales en Asie. Détectée au premier semestre 2026, cette attaque déploie un framework de chargement d'assemblages .NET jusqu'alors non documenté, connu sous le nom de NetamLoader. L'intrusion cible spécifiquement une version personnalisée de Windows 10 utilisée exclusivement par des entités gouvernementales, suggérant une opération ciblée et à haute valeur.

Ce qui s'est passé

L'artefact malveillant a été découvert emballé dans une archive cabinet Windows (fichier CAB) située dans un répertoire généralement réservé aux packages de mise à jour du système d'exploitation Windows. Kaspersky soupçonne que l'opération impliquait une attaque sur la chaîne d'approvisionnement, où des acteurs de la menace ont compromis un fournisseur tiers de confiance pour accéder aux utilisateurs en aval. Bien que le vecteur exact de livraison de l'archive CAB reste inconnu, son emplacement dans les dossiers de mise à jour système indique une tentative de se fondre dans les processus administratifs légitimes.

Cette attaque n'a pas encore été attribuée à un acteur ou groupe de menaces spécifique. Il est également unclear si l'intrusion a compromis plus d'un système ou si des informations sensibles ont été exfiltrées avec succès. Les données de télémétrie ont identifié une seule victime en Asie, bien que le pays spécifique n'ait pas été divulgué. Les indices pointent vers la Chine, car Microsoft propose une édition Windows 10 China Government Edition sur mesure pour les entités étatiques. Cela correspond aux rapports récents indiquant que les agences chinoises abandonnent les systèmes d'exploitation étrangers en raison de préoccupations liées à la sécurité des données.

Fonctionnement

NetamLoader emploie une chaîne d'infection en deux étapes qui exploite l'injection AppDomainManager, une technique qui détourne l'initialisation du domaine d'application du framework .NET pour exécuter du code arbitraire. Cette méthode permet au code malveillant de s'exécuter à l'intérieur du processus d'une application légitime, similaire au sideloading de DLL, aidant ainsi à échapper à la détection. L'archive CAB contient sept fichiers, y compris des composants légitimes du logiciel de gestion de points de terminaison Patch My PC. Seul un fichier, "Resources.resx", contient du code malveillant, tandis que les autres servent de leurres ou de chargeurs.

L'exécution commence lorsque "PatchMyPC-ScriptRunner.exe" abuse de l'injection AppDomainManager pour analyser son fichier de configuration, déclenchant le chargement de "Microsoft.HostIntegration.Connectors.dll". Ce composant analyse ensuite "fabric.config" pour charger "Resources.resx", qui contient plusieurs couches de charges utiles encodées, compressées ou chiffrées. Ces charges utiles incluent des fichiers XAML, des assemblages .NET et des données JSON, qui sont décodés et chargés séquentiellement. La dernière étape implique un plugin .NET qui collecte les informations système, communique avec un serveur de commande et de contrôle à l'adresse "openaigpt4v[.]com" et exécute des instructions supplémentaires récupérées depuis le serveur.

Détails clés

• Cible : Versions personnalisées de Windows 10 utilisées exclusivement par les entités gouvernementales en Asie.
• Détection : Premier semestre 2026 par les chercheurs de Kaspersky.
• Technique : Injection AppDomainManager pour charger des assemblages .NET arbitraires au sein de processus légitimes.
• Structure de la charge utile : Encodage multi-couches utilisant des fichiers XAML, des assemblages .NET et des données JSON stockés dans "Resources.resx".
• Évasion : Supprime les fichiers malveillants, les journaux d'utilisation CLR et le cache Prefetch de Windows pour effacer les traces ; contourne AMSI en utilisant XAML-2-1.
• Communication C2 : Utilise "openaigpt4v[.]com" avec des délais de jitter de 20 à 40 minutes avant le contact initial et des boucles de sondage périodiques.

Pourquoi cela compte

Pour les ingénieurs logiciels et les professionnels de la sécurité, cette campagne met en évidence les risques associés aux chaînes de dépendances complexes et aux outils légitimes. En intégrant le malware dans un logiciel de gestion de points de terminaison reconnu comme Patch My PC, les attaquants exploitent la confiance accordée aux utilitaires établis. Cela rend la détection traditionnelle basée sur les signatures moins efficace, car les fichiers environnants sont authentiques et seuls des fichiers de configuration spécifiques déclenchent le comportement malveillant. Les développeurs doivent reconnaître que les compromissions de la chaîne d'approvisionnement peuvent se manifester par des mises à jour ou des modifications de configuration apparemment bénignes.

L'utilisation de l'injection AppDomainManager démontre une compréhension approfondie de l'environnement d'exécution .NET. Cette technique permet aux attaquants d'exécuter du code sans créer de nouveaux processus, rendant l'analyse comportementale plus difficile. Pour les équipes développant des outils internes ou gérant des logiciels d'entreprise, cela souligne la nécessité de vérifications rigoureuses de l'intégrité des fichiers de configuration et des dépendances. Même si les exécutables binaires sont signés et vérifiés, une logique malveillante peut être injectée via des mécanismes de configuration souvent négligés lors des audits de sécurité standard.

Ce que vous pouvez faire

• Surveillez les répertoires tels que C:\Windows\SoftwareDistribution\Download pour détecter des archives CAB ou des fichiers de configuration inattendus.
• Mettez en œuvre une vérification stricte de l'intégrité pour tous les fichiers .config et ressources chargés par les applications .NET.
• Passez en revue et restreignez les paramètres d'initialisation AppDomainManager pour empêcher le chargement non autorisé d'assemblages.
• Déployez des solutions de détection et de réponse sur les points de terminaison (EDR) capables d'analyser les comportements de chargement d'assemblages .NET en mémoire.
• Auditez les pratiques de sécurité des fournisseurs tiers et limitez les frontières de confiance pour les mises à jour logicielles.
• Vérifiez la présence de trafic réseau inhabituel vers des domaines ressemblant à des services légitimes, tels que "openaigpt4v[.]com."