NetamLoader missbraucht .NET loading auf angepasstem Windows 10
NetamLoader, ein zuvor nicht dokumentiertes Malware-Loading-Framework, wurde auf einem angepassten Windows-10-System entdeckt, das in Asien der behördlichen Nutzung vorbehalten ist. Kaspersky entdeckte das Artefakt in der ersten Hälfte des Jahres 2026 und beschrieb eine aufwendige zweistufige Kette, die bösartige Microsoft-.NET-Software innerhalb legitimer Prozesse ausführt und dabei versucht, ihre Aktivitäten zu verbergen.
Die Telemetriedaten von Kaspersky identifizierten ein betroffenes System. Die Forscher konnten nicht feststellen, ob weitere Computer kompromittiert wurden, ob Informationen gestohlen wurden oder wer den Angriff durchgeführt hat. Auch die ursprüngliche Verbreitungsmethode ist unbekannt. Kaspersky vermutet eine supply-chain attack, bei der ein Angreifer Software oder Dienste kompromittiert, denen das spätere Ziel vertraut. Der vermutete Weg wurde jedoch nicht bestätigt, und kein Drittanbieter wurde als Einstiegspunkt identifiziert.
Das ursprüngliche Artefakt war ein Windows-Cabinet-Archiv beziehungsweise CAB file, das unter `C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24` abgelegt wurde. Sein Inhalt wurde nach `C:\Windows\SoftwareDistribution\Download\Install\` extrahiert; beide Speicherorte werden normalerweise mit Betriebssystemupdates in Verbindung gebracht. Das Archiv enthielt sieben Dateien: `fabric.config`, `Microsoft.HostIntegration.Connectors.dll`, `PatchMyPC-Enum.dll`, `PatchMyPC-Models.dll`, `PatchMyPC-ScriptRunner.exe`, `PatchMyPC-ScriptRunner.exe.config` und `Resources.resx`. Vier davon waren legitime Komponenten der Endpoint-Management-Software Patch My PC. Kaspersky fand bösartigen Code ausschließlich in `Resources.resx`, obwohl die anderen Dateien dabei halfen, ihn zu starten oder zu verarbeiten.
Die Ausführung begann mit `PatchMyPC-ScriptRunner.exe`. Die zugehörige Konfigurationsdatei nutzte AppDomainManager injection, eine Technik, die verändert, wie eine .NET-Anwendung initialisiert wird, sodass beim Start des legitimen Programms ein vom Angreifer kontrolliertes assembly ausgeführt werden kann. Dadurch wurde `Microsoft.HostIntegration.Connectors.dll` geladen, das `fabric.config` las und anschließend `Resources.resx` verarbeitete. Das Ergebnis ähnelt DLL sideloading, bei dem ein legitimer Prozess dazu gebracht wird, unerwünschten Code auszuführen. Diese Kette nutzte jedoch stattdessen den Startmechanismus des .NET Framework für AppDomain aus.
Die Ressourcendatei enthielt mehrere Schichten codierter, komprimierter oder verschlüsselter Inhalte, darunter XAML-Dateien, .NET assemblies und JSON-Daten. XAML-1 lud ein eingebettetes XAML-2-payload. XAML-2 öffnete anschließend zwei komprimierte und mit Base64 codierte Dateien namens XAML-2-1 und XAML-2-2. Die erste sollte Antimalware Scan Interface (AMSI) umgehen, die Windows-Schnittstelle, über die Sicherheitssoftware bestimmte Scripts und andere Inhalte vor ihrer Ausführung prüfen kann. Die zweite enthielt einen .NET 1 Loader und ein JSON-1-Datenpaket.
JSON-1 war in eine command-and-control-Konfiguration namens JSON-1-c und JSON-1-p unterteilt. JSON-1-p enthielt ein mit Base64 codiertes .NET 2 Plugin sowie verschlüsselte und komprimierte XAML-Templates. Der .NET 1 Loader entschlüsselte und erzeugte XAML-3, meldete den Status der Infektion an den command-and-control server und beseitigte Spuren. Die Bereinigung umfasste aus dem CAB-Archiv extrahierte Dateien, Logs zur Nutzung der Common Language Runtime sowie Cache-Dateien von Windows Prefetch.
XAML-3 wurde innerhalb des legitimen Prozesses `dllhost.exe` ausgeführt und decodierte, dekomprimierte und lud das .NET 2 Plugin. Dieses Plugin sammelte Systemdetails aus der Windows Registry, überprüfte, ob es innerhalb von `dllhost.exe` ausgeführt wurde, und las die command-and-control-Einstellungen. Es wartete zufällig ausgewählte 20 bis 40 Minuten, bevor es `openaigpt4v[.]com` kontaktierte. Danach forderte es wiederholt ein weiteres XAML-payload an und konnte eine gültige Antwort innerhalb einer isolierten AppDomain ausführen, einem abgetrennten .NET-Ausführungsbereich.
Kaspersky stellte fest, dass die Malware nach einer erfolgreichen Serverantwort weitere 5 bis 6 Minuten wartete, bevor sie den Server erneut kontaktierte. Erhielt sie keine gültige Antwort, legte sie eine wesentlich längere Pause von 22 bis 28 Stunden ein und prüfte alle 10 Minuten, ob dieses Intervall abgelaufen war. Diese Verzögerungen, die mehrschichtigen payloads, die Ausführung innerhalb vertrauenswürdiger Prozesse und das Löschen lokaler Artefakte erschweren eine direkte Untersuchung. Kaspersky konnte jedoch nicht feststellen, welchen nachfolgenden Code der Server an das identifizierte Opfer lieferte.
Das betroffene asiatische Land wurde nicht genannt. Kaspersky bewertete China als möglichen Standort, da Microsoft die Windows 10 China Government Edition für Behörden und staatseigene Unternehmen bereitstellt. Dies wurde jedoch nicht bestätigt. Das umfassendere technische Problem besteht darin, dass stark angepasste Betriebssystemumgebungen eigene ausgereifte Wartungs- und Sicherheitsprozesse benötigen, insbesondere wenn Updates und Management-Tools Teil der Software-supply-chain sind.
Für IT-Teams sind der genannte Dateipfad, die ungewöhnliche Kombination von Dateien, die Ausführung über `dllhost.exe` und der Kontakt mit der gemeldeten command-and-control-Domain die konkretesten Indikatoren. Ihr Auftreten sollte im jeweiligen Kontext untersucht werden, da mehrere Komponenten im Archiv legitim sind und ihre Namen allein keine Infektion belegen. Organisationen, die externe Unterstützung bei dieser Art von Betriebsrisiko suchen, bietet AEU-I sicherheitsorientierte IT-, Infrastruktur- und Beratungsleistungen.
NetamLoader bleibt eine nur in engem Umfang beobachtete Bedrohung und keine dokumentierte Massenkampagne. Der Betreiber, der ursprüngliche Verbreitungsmechanismus, die Gesamtzahl der Opfer und die Auswirkungen sind weiterhin unbekannt. Der Fall zeigt jedoch, wie vertrauenswürdige Anwendungskomponenten und das Startverhalten von .NET miteinander kombiniert werden können, um eine mehrschichtige Malware-Kette auf einer spezialisierten Windows-Installation zu verbergen.