NetamLoader mira sistemas Windows 10 de órgãos governamentais asiáticos
Pesquisadores da Kaspersky identificaram uma campanha de ciberespionagem direcionada a organizações públicas da Ásia. O ataque emprega o NetamLoader, um framework malicioso até então desconhecido, para comprometer uma edição personalizada do Windows 10 desenvolvida para instituições governamentais.
A operação chama atenção pela combinação de componentes legítimos, exploração de recursos do .NET Framework e diversas camadas de ofuscação. Até o momento, não há atribuição a um grupo de hackers conhecido. Também não foi confirmado se outros sistemas foram afetados nem se dados confidenciais chegaram a ser roubados. A possibilidade de o governo chinês estar entre os alvos é considerada, mas não foi comprovada.
Arquivo suspeito em diretório de atualizações
O artefato foi encontrado no primeiro semestre de 2026, dentro de um arquivo Windows Cabinet (CAB) armazenado em uma pasta usada pelo sistema para gerenciar pacotes de atualização. O caminho identificado foi:
`C:WindowsSoftwareDistributionDownloade4537a1762fcafd2fd96bfc825bad34f9db9a24`
O conteúdo do pacote foi extraído para:
`C:WindowsSoftwareDistributionDownloadInstall`
Ainda não se sabe como o arquivo chegou ao computador. Uma das hipóteses investigadas é a ocorrência de um ataque à cadeia de suprimentos, modalidade em que invasores comprometem um fornecedor ou serviço confiável para alcançar os clientes que o utilizam. Essa possibilidade, porém, permanece sem confirmação.
O pacote continha sete arquivos. Quatro eram componentes legítimos do Patch My PC, ferramenta usada para administrar aplicações e dispositivos. Na análise dos pesquisadores, o código malicioso estava incorporado apenas ao arquivo `Resources.resx`; os demais elementos ajudavam a viabilizar a execução da cadeia de infecção.
Uso de componentes legítimos para ocultar o ataque
A sequência começa com o executável legítimo `PatchMyPC-ScriptRunner.exe`. Uma configuração adulterada, chamada `PatchMyPC-ScriptRunner.exe.config`, faz com que o programa carregue o arquivo `Microsoft.HostIntegration.Connectors.dll`, que, por sua vez, localiza e interpreta o conteúdo de `fabric.config`.
Esse método explora a técnica conhecida como *AppDomainManager injection*. O recurso do .NET Framework usado para inicializar domínios de aplicação é manipulado para executar código arbitrário dentro de processos aparentemente confiáveis. A abordagem lembra o *DLL sideloading*: em vez de iniciar diretamente um programa suspeito, o invasor se aproveita de aplicações legítimas, o que pode reduzir a chance de detecção.
A partir daí, o `Resources.resx` desencadeia uma sequência de componentes. O arquivo reúne elementos XAML, assemblies do .NET e dados JSON que foram codificados, comprimidos ou criptografados. A estrutura está dividida em etapas, com módulos encarregados de carregar o código seguinte e estabelecer contato com a infraestrutura dos operadores.
No primeiro estágio, o componente XAML-1 carrega o XAML-2. Este, então, processa dois arquivos XAML comprimidos e codificados em Base64. Um deles, identificado como XAML-2-1, tenta contornar o AMSI, mecanismo do Windows que permite a inspeção de conteúdos potencialmente maliciosos.
O outro arquivo, XAML-2-2, contém o módulo `.NET 1 Loader` e um conjunto de dados JSON chamado JSON-1. Nesse material ficam armazenadas configurações de comunicação com o servidor de comando e controle (C2), além de outro módulo .NET e modelos XAML criptografados usados para montar o XAML-3.
O `.NET 1 Loader` descriptografa e prepara o novo componente para execução. Também informa ao servidor C2 o estado do processo e apaga arquivos maliciosos extraídos do pacote CAB. Para dificultar a análise posterior, o malware ainda remove registros relacionados ao Common Language Runtime (CLR) e arquivos do cache Prefetch do Windows, que poderiam revelar sinais de sua atividade.
Comunicação com o servidor de comando e controle
Na etapa seguinte, o XAML-3 é executado dentro do processo legítimo `dllhost.exe` e carrega o componente final, chamado `.NET 2 Plugin`. Esse módulo consulta informações do sistema no Registro do Windows, verifica se está sendo executado no processo esperado e se comunica com a infraestrutura dos invasores.
O domínio associado ao servidor de comando e controle identificado na investigação é `openaigpt4v[.]com`. Antes de realizar a primeira conexão, o malware espera um período aleatório de 20 a 40 minutos. O atraso pode dificultar a identificação de comportamentos suspeitos que se repetem em intervalos previsíveis.
Depois de estabelecer contato, o componente consulta periodicamente o servidor e pode receber arquivos XAML adicionais. Essa arquitetura permite ampliar ou alterar as funções do malware sem que todos os recursos precisem estar presentes desde o início da infecção. O conteúdo exato dos arquivos que poderiam ser enviados posteriormente não foi detalhado nas informações disponíveis.
O que se sabe – e o que ainda falta esclarecer
A sofisticação da cadeia não significa, por si só, que houve uma invasão em larga escala. Até agora, os pesquisadores não confirmaram o número de sistemas comprometidos, o volume de informações acessadas ou a identidade dos responsáveis. A hipótese de ataque à cadeia de suprimentos também depende de descobrir como o pacote CAB foi distribuído.
Para equipes de segurança, o caso reforça a importância de investigar arquivos inesperados em diretórios de atualização, mesmo quando eles aparecem junto a componentes aparentemente legítimos. A presença de executáveis conhecidos não garante que toda a cadeia seja segura: arquivos de configuração e recursos incorporados podem ser manipulados para iniciar código malicioso.
A análise de incidentes desse tipo deve considerar o comportamento dos processos, e não apenas a reputação dos arquivos. Carregamentos incomuns do .NET, alterações em configurações de execução, acesso a componentes XAML e conexões de rede iniciadas por processos legítimos podem ajudar a identificar atividades que passariam despercebidas em verificações baseadas somente em nomes de programas.
Também é recomendável preservar registros e evidências antes de remover arquivos suspeitos. Como o NetamLoader tenta apagar rastros locais, a coleta rápida de informações pode ser decisiva para reconstruir a sequência do ataque e determinar se houve comunicação com o servidor C2. Até que a origem e o alcance da campanha sejam esclarecidos, o episódio deve ser tratado como uma ameaça direcionada, com impacto ainda não confirmado.