Malware NetamLoader sử dụng kỹ thuật chèn .NET để tấn công hệ thống Windows của chính phủ châu Á

Các nhà nghiên cứu an ninh mạng tại Kaspersky đã tiết lộ một chiến dịch malware vô cùng tinh vi nhằm vào các tổ chức chính phủ ở châu Á. Được phát hiện trong nửa đầu năm 2026, cuộc tấn công triển khai một framework tải assembly .NET chưa từng được ghi nhận trước đây có tên là NetamLoader. Cuộc xâm nhập này đặc biệt nhắm vào một bản build Windows 10 tùy chỉnh chỉ được sử dụng bởi các cơ quan chính phủ, cho thấy đây là một hoạt động tập trung và có giá trị cao.

Chuyện gì đã xảy ra

Tệp tin độc hại được tìm thấy đóng gói bên trong một tệp lưu trữ Windows Cabinet (CAB), nằm trong thư mục thường được dành riêng cho các gói cập nhật hệ điều hành Windows. Kaspersky nghi ngờ rằng chiến dịch này liên quan đến một cuộc tấn công chuỗi cung ứng, trong đó các nhóm đe dọa đã xâm phạm một nhà cung cấp bên thứ ba đáng tin cậy để truy cập vào người dùng cuối. Mặc dù phương tiện phân phối chính xác của tệp CAB vẫn chưa được xác định, nhưng vị trí của nó trong các thư mục cập nhật hệ thống cho thấy nỗ lực hòa lẫn với các quy trình quản trị hợp pháp.

Cuộc tấn công chưa được quy kết cho bất kỳ nhóm hoặc cá nhân đe dọa cụ thể nào. Cũng chưa rõ liệu cuộc xâm nhập đã ảnh hưởng đến nhiều hơn một hệ thống hay không, hoặc liệu thông tin nhạy cảm có bị đánh cắp thành công hay không. Dữ liệu telemetries xác định một nạn nhân duy nhất ở châu Á, mặc dù quốc gia cụ thể không được tiết lộ. Các dấu hiệu hướng tới Trung Quốc, vì Microsoft cung cấp phiên bản Windows 10 China Government Edition tùy chỉnh cho các thực thể nhà nước. Điều này phù hợp với các báo cáo gần đây rằng các cơ quan Trung Quốc đang chuyển đổi khỏi các hệ điều hành nước ngoài do lo ngại về bảo mật dữ liệu.

Cách thức hoạt động

NetamLoader sử dụng chuỗi lây nhiễm hai giai đoạn, khai thác kỹ thuật chèn AppDomainManager, một phương pháp chiếm quyền kiểm soát quá trình khởi tạo miền ứng dụng của .NET Framework để thực thi mã tùy ý. Phương pháp này cho phép mã độc chạy bên trong tiến trình của một ứng dụng hợp pháp, tương tự như DLL sideloading, giúp nó tránh bị phát hiện. Tệp CAB chứa bảy tệp, bao gồm cả các thành phần hợp pháp từ phần mềm quản lý endpoint Patch My PC. Chỉ một tệp, "Resources.resx," chứa mã độc, trong khi các tệp khác đóng vai trò làm mồi nhử hoặc bộ nạp.

Quá trình thực thi bắt đầu khi "PatchMyPC-ScriptRunner.exe" lạm dụng việc chèn AppDomainManager để phân tích tệp cấu hình của nó, kích hoạt việc tải "Microsoft.HostIntegration.Connectors.dll." Thành phần này sau đó phân tích "fabric.config" để tải "Resources.resx," nơi chứa nhiều lớp payload được mã hóa, nén hoặc mã hóa. Các payload này bao gồm các tệp XAML, assembly .NET và dữ liệu JSON, được giải mã và tải tuần tự. Giai đoạn cuối cùng liên quan đến một plugin .NET thu thập thông tin hệ thống, giao tiếp với máy chủ điều khiển và lệnh (command-and-control) tại "openaigpt4v[.]com," và thực thi các chỉ thị tiếp theo được lấy từ máy chủ.

Chi tiết chính

• Mục tiêu: Các bản build Windows 10 tùy chỉnh chỉ được sử dụng bởi các thực thể chính phủ ở châu Á.
• Phát hiện: Nửa đầu năm 2026 bởi các nhà nghiên cứu của Kaspersky.
• Kỹ thuật: Chèn AppDomainManager để tải các assembly .NET tùy ý bên trong các tiến trình hợp pháp.
• Cấu trúc Payload: Mã hóa đa lớp sử dụng các tệp XAML, assembly .NET và dữ liệu JSON được lưu trữ trong "Resources.resx."
• Tránh né: Xóa các tệp độc hại, nhật ký sử dụng CLR và cache Prefetch của Windows để xóa dấu vết; bỏ qua AMSI bằng cách sử dụng XAML-2-1.
• Giao tiếp C2: Sử dụng "openaigpt4v[.]com" với độ trễ ngẫu nhiên (jitter delays) từ 20-40 phút trước lần liên lạc đầu tiên và các vòng lặp thăm dò định kỳ.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và chuyên gia bảo mật, chiến dịch này làm nổi bật những rủi ro liên quan đến các chuỗi phụ thuộc phức tạp và các công cụ hợp pháp. Bằng cách nhúng malware vào phần mềm quản lý endpoint được công nhận như Patch My PC, kẻ tấn công khai thác sự tin tưởng vào các tiện ích đã được thiết lập. Điều này làm giảm hiệu quả của các phương pháp phát hiện dựa trên chữ ký truyền thống, vì các tệp xung quanh là thật và chỉ các tệp cấu hình cụ thể mới kích hoạt hành vi độc hại. Các nhà phát triển cần nhận ra rằng sự xâm phạm chuỗi cung ứng có thể biểu hiện thông qua các bản cập nhật hoặc thay đổi cấu hình trông có vẻ vô hại.

Việc sử dụng kỹ thuật chèn AppDomainManager chứng tỏ sự hiểu biết sâu sắc về môi trường runtime .NET. Kỹ thuật này cho phép kẻ tấn công thực thi mã mà không cần tạo ra các tiến trình mới, khiến việc phân tích hành vi trở nên khó khăn hơn. Đối với các đội ngũ xây dựng công cụ nội bộ hoặc quản lý phần mềm doanh nghiệp, điều này nhấn mạnh nhu cầu về các kiểm tra tính toàn vẹn nghiêm ngặt đối với các tệp cấu hình và phụ thuộc. Ngay cả khi các tệp thực thi nhị phân đã được ký và xác minh, logic độc hại vẫn có thể được chèn thông qua các cơ chế cấu hình thường bị bỏ qua trong các cuộc kiểm toán bảo mật tiêu chuẩn.

Bạn có thể làm gì

• Giám sát các thư mục như C:\Windows\SoftwareDistribution\Download để tìm kiếm các tệp CAB hoặc tệp cấu hình không mong muốn.
• Triển khai xác minh tính toàn vẹn nghiêm ngặt cho tất cả các tệp .config và tài nguyên được tải bởi các ứng dụng .NET.
• Xem xét và hạn chế các cài đặt khởi tạo AppDomainManager để ngăn chặn việc tải assembly trái phép.
• Triển khai các giải pháp phát hiện và phản hồi endpoint (EDR) có khả năng phân tích hành vi tải assembly .NET trong bộ nhớ.
• Kiểm tra các thực hành bảo mật của nhà cung cấp bên thứ ba và giới hạn các ranh giới tin cậy cho các bản cập nhật phần mềm.
• Kiểm tra lưu lượng mạng bất thường đến các tên miền giống với các dịch vụ hợp pháp, chẳng hạn như "openaigpt4v[.]com."