NetamLoader colpisce Windows 10 governativi: .NET injection e sospetto supply chain mettono in allarme l’Asia

Una nuova campagna malware denominata NetamLoader sta attirando lattenzione nel panorama della sicurezza informatica per la capacita di colpire sistemi Windows 10 destinati esclusivamente a enti governativi in Asia. Le analisi descrivono una catena di infezione avanzata che sfrutta componenti apparentemente legittimi e una tecnica di .NET injection per ottenere esecuzione di codice allinterno di processi affidabili, riducendo la probabilita di rilevamento.

Il campione e stato individuato in un archivio CAB collocato in una cartella tipicamente associata agli aggiornamenti di Windows, un dettaglio che suggerisce un tentativo di mimetizzazione e possibili legami con un attacco supply chain. In questo scenario, gli aggressori potrebbero aver compromesso un fornitore terzo considerato affidabile, ottenendo cosi accesso indiretto a organizzazioni che dipendono da quel software o servizio.

Il cuore della compromissione ruota attorno a un file di configurazione che abilita AppDomainManager injection, un metodo che intercetta linizializzazione dei domini applicativi del .NET Framework quando parte una applicazione .NET. In pratica, il malware riesce a caricare assembly arbitrari e a farli girare nello stesso processo di un programma lecito, con un effetto simile al DLL sideloading ma orientato allambiente .NET.

La catena di infezione osservata utilizza file associati a un software di gestione endpoint diffuso, includendo eseguibili e librerie legittime, mentre un file di risorse contiene livelli multipli di payload codificati, compressi o cifrati. Tra questi compaiono XAML loader, assembly .NET e dati JSON. Uno degli elementi piu critici e un componente progettato per bypassare AMSI, il meccanismo di scansione antimalware integrato in Windows, aumentando la resilienza del malware durante lesecuzione.

Nelle fasi successive, un plugin .NET recupera la configurazione di comando e controllo, raccoglie informazioni di sistema dal Registro di Windows, verifica il contesto di esecuzione in dllhost.exe e introduce ritardi casuali prima di contattare linfrastruttura C2. Il comportamento di polling alterna intervalli brevi quando la risposta e valida e pause molto lunghe quando non lo e, una strategia utile per ridurre rumore e indicatori evidenti in rete. Sono stati inoltre osservati tentativi di cancellazione di tracce, inclusi file temporanei, log CLR e dati Prefetch di Windows.

La telemetria indica almeno una vittima in Asia e lattenzione verso build governative personalizzate evidenzia come gli ecosistemi nazionali, pur offrendo maggiore controllo, richiedano difese mature lungo tutta la filiera software.