Kaspersky heeft deze week details gepubliceerd over NetamLoader, een voorheen onbekend .NET-assembly-laadraamwerk dat is gebruikt om een speciale Windows 10-build bij een overheidsinstelling in Azië te infecteren. Welke groep achter de aanval zit, is niet bekend, en Kaspersky’s telemetrie wijst vooralsnog op één getroffen slachtoffer; onduidelijk is of er meer systemen zijn gecompromitteerd of data is gestolen.
Het doelwit is een aangepaste Windows 10-versie die uitsluitend door overheidsorganisaties wordt gebruikt. Kaspersky noemt het land niet, maar de details wijzen op de Windows 10 China Government Edition, een variant die Microsoft specifiek voor Chinese overheidsdiensten maakt. Bloomberg meldde in augustus 2026 dat het Chinese Ministerie van Staatsveiligheid sommige overheidsdiensten al had geadviseerd te stoppen met die Government Edition, uit zorgen over de gegevensveiligheid. Kaspersky trof de malware in de eerste helft van 2026 aan.
Verstopt tussen legitieme updatebestanden
De malware kwam binnen via een Windows cabinet-archief (CAB) dat in een map voor Windows-updatepakketten werd geplaatst. Hoe het archief daar precies terechtkwam, is onduidelijk; de onderzoekers vermoeden een gecompromitteerde leverancier in de toeleveringsketen. Het archief bevatte zeven bestanden, waarvan vier legitieme onderdelen van het updatetool Patch My PC. Alleen het bestand “Resources.resx” bevatte kwaadaardige code.
Het starten van “PatchMyPC-ScriptRunner.exe” triggert via het bijbehorende configuratiebestand een techniek die AppDomainManager-injectie heet: die laadt de dll “Microsoft.HostIntegration.Connectors.dll”, die op zijn beurt “fabric.config” leest en zo “Resources.resx” activeert. AppDomainManager-injectie misbruikt een mechanisme in het .NET Framework om bij het opstarten van een toepassing willekeurige assemblies uit te voeren, vergelijkbaar met DLL-sideloading: de kwaadaardige code draait binnen een legitiem, vertrouwd proces en blijft daardoor makkelijker buiten beeld van beveiligingssoftware.
“Resources.resx” bevat vervolgens meerdere laagjes gecodeerde, gecomprimeerde of versleutelde payloads, waaronder XAML-bestanden, .NET-assemblies en JSON-data. Eén van die XAML-bestanden omzeilt AMSI, de malware-scaninterface van Windows, waarna het eigenlijke laadproces verdergaat. Het laatste onderdeel, de “.NET 2 Plugin”, draait binnen het proces “dllhost.exe”, verzamelt systeeminformatie uit het Windows-register en wacht vervolgens een willekeurige periode van 20 tot 40 minuten voordat het voor het eerst contact zoekt met de command-and-control-server “openaigpt4v[.]com”. Krijgt de malware een geldige respons, dan duurt de volgende pauze 5 tot 6 minuten; blijft die uit, dan wacht ze 22 tot 28 uur en checkt ze elke 10 minuten opnieuw. Een apart onderdeel wist na gebruik geëxtraheerde bestanden, CLR-logs en Prefetch-bestanden om sporen te wissen.
Kaspersky geeft in het onderzoek geen concrete verdedigingsadviezen, en de aanval richt zich vooralsnog uitsluitend op een overheidsspecifieke Windows-variant die in Nederland niet in gebruik is. Toch is de onderliggende techniek de moeite van het onthouden waard. AppDomainManager-injectie via een configuratiebestand van een vertrouwde toepassing is voor reguliere antivirussoftware lastig te herkennen, en vergelijkbare sideloading-trucs duiken steeds vaker op in aanvallen op westerse bedrijven. IT-afdelingen die .NET-toepassingen van derden draaien, doen er goed aan configuratiebestanden van vertrouwde software niet klakkeloos te vertrouwen en kritisch te kijken naar de herkomst van update- en installatiepakketten in de eigen toeleveringsketen.
Bron: The Hacker News
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.