NetamLoaderマルウェア、.NETインジェクションを用いてアジアの政府向けWindowsシステムを標的に

Kasperskyのサイバーセキュリティ研究者は、アジアの政府組織を標的とした極めて高度なマルウェアキャンペーンを明らかにしました。この攻撃は2026年前半に検出され、以前には知られていなかった.NETアセンブリ読み込みフレームワーク「NetamLoader」を展開します。侵入は政府機関のみが使用するカスタムのWindows 10ビルドを具体的に狙っており、焦点を絞った高価値な作戦であることを示唆しています。

何が起きたか

悪意あるアーティファクトは、通常Windowsオペレーティングシステムの更新パッケージ用に予約されているディレクトリにあるWindowsキャビネットアーカイブ（CAB）ファイル内に梱包された状態で発見されました。Kasperskyは、脅威アクターが信頼できるサードパーティベンダーを侵害し、下流ユーザーへのアクセスを得るサプライチェーン攻撃が含まれていたと推測しています。CABアーカイブの正確な配信経路は不明ですが、システム更新フォルダ内での配置は、正当な管理プロセスに紛れ込もうとする試みを示しています。

この攻撃は特定の脅威アクターやグループに帰属されていません。また、侵入が複数のシステムに影響を与えたのか、あるいは機密情報が実際に外部へ持ち出されたのかについても不明です。テレメトリデータによりアジアで1人の被害者が特定されましたが、具体的な国名は開示されていません。Microsoftが国有企業向けに独自の「Windows 10 China Government Edition」を提供していることから、中国を示唆する兆候があります。これは、データセキュリティ上の懸念から中国の機関が外国製オペレーティングシステムからの移行を進めているという最近の報告とも一致します。

仕組み

NetamLoaderは、AppDomainManagerインジェクションを利用した二段階の感染チェーンを採用しています。この手法は、.NET Frameworkのアプリケーションドメイン初期化をハイジャックして任意のコードを実行します。DLLサイドローディングと同様に、悪意あるコードを正当なアプリケーションのプロセス内で実行できるようにするため、検知を回避するのに役立ちます。CABアーカイブには7つのファイルが含まれており、その中にはPatch My PCエンドポイント管理ソフトウェアの正当なコンポーネントも含まれています。「Resources.resx」という1つのファイルのみが悪意あるコードを含んでおり、他のファイルは囮またはローダーとして機能します。

実行は、「PatchMyPC-ScriptRunner.exe」がAppDomainManagerインジェクションを悪用して設定ファイルを解析し、「Microsoft.HostIntegration.Connectors.dll」の読み込みをトリガーすることで始まります。このコンポーネントは次に「fabric.config」を解析して「Resources.resx」を読み込みます。ここには、エンコード、圧縮、暗号化された複数のペイロード層が含まれています。これらのペイロードにはXAMLファイル、.NETアセンブリ、JSONデータが含まれており、順次デコードおよび読み込まれます。最終段階では、.NETプラグインがシステム情報を収集し、「openaigpt4v[.]com」にあるコマンド＆コントロールサーバーと通信し、サーバーから取得したさらなる指示を実行します。

主要な詳細

• 標的: アジアの政府機関のみが使用するカスタムWindows 10ビルド。
• 検出: 2026年前半にKasperskyの研究者によって検出。
• 手法: AppDomainManagerインジェクションを用い、正当なプロセス内で任意の.NETアセンブリを読み込む。
• ペイロード構造: 「Resources.resx」に保存されたXAMLファイル、.NETアセンブリ、JSONデータを用いた多層エンコーディング。
• 回避策: 痕跡を消すために悪意あるファイル、CLR使用ログ、Windows Prefetchキャッシュを削除。XAML-2-1を用いてAMSIをバイパス。
• C2通信: 「openaigpt4v[.]com」を使用し、初回接触前に20〜40分のジッター遅延と定期的なポーリングループを実施。

なぜ重要か

ソフトウェアエンジニアやセキュリティ専門家にとって、このキャンペーンは複雑な依存関係チェーンと正当なツールに関連するリスクを浮き彫りにします。Patch My PCのような認識されたエンドポイント管理ソフトウェア内にマルウェアを組み込むことで、攻撃者は確立されたユーティリティに対する信頼を悪用します。周囲のファイルは本物であり、特定の構成ファイルのみが悪意ある動作を引き起こすため、従来のシグネチャベースの検知は効果が薄くなります。開発者は、サプライチェーン侵害が一見無害に見える更新や構成変更を通じて発生し得ることを認識する必要があります。

AppDomainManagerインジェクションの使用は、.NETランタイム環境に対する深い理解を示しています。この手法により、攻撃者は新しいプロセスを作成せずにコードを実行でき、行動分析をより困難にします。内部ツールを構築したり、エンタープライズソフトウェアを管理したりするチームにとって、これは構成ファイルと依存関係に対する厳格な整合性チェックの必要性を強調します。バイナリ実行ファイルが署名され検証済みであっても、標準的なセキュリティ監査で見落とされがちな構成メカニズムを通じて悪意あるロジックが注入される可能性があります。

対策

• C:\Windows\SoftwareDistribution\Downloadなどのディレクトリで、予期しないCABアーカイブや構成ファイルを監視してください。
• .NETアプリケーションが読み込むすべての.configファイルとリソースに対して、厳格な整合性検証を実装してください。
• 不正なアセンブリ読み込みを防ぐため、AppDomainManager初期化設定の見直しと制限を行ってください。
• メモリ内での.NETアセンブリ読み込み挙動を分析できるエンドポイント検知・対応（EDR）ソリューションを導入してください。
• サードパーティベンダーのセキュリティ慣行を監査し、ソフトウェア更新における信頼境界を限定してください。
• 「openaigpt4v[.]com」のように正当なサービスに似ているドメインへの異常なネットワークトラフィックを確認してください。