NetamLoader: ameaça cibernética direcionada a governos asiáticos com Windows 10 personalizado

Pesquisadores da Kaspersky identificaram uma campanha de ataque cibernético direcionada a organizações governamentais na Ásia. A campanha utiliza uma versão personalizada do Windows 10, desenvolvida exclusivamente para instituições públicas, comprometida por meio de uma cadeia de infecção sofisticada. O framework malicioso NetamLoader, até então desconhecido, é responsável por essa ação.

O NetamLoader emprega técnicas de injeção no .NET Framework, múltiplas camadas de ofuscação e mecanismos para dificultar a detecção. A operação foi identificada no primeiro semestre de 2026, com o artefato malicioso armazenado em um arquivo Windows Cabinet (CAB) dentro do diretório C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24. Os pesquisadores suspeitam que a ação possa envolver um ataque à cadeia de suprimentos, comprometendo fornecedores confiáveis para acessar organizações.

O pacote distribuído contém sete arquivos, incluindo quatro componentes legítimos do Patch My PC. Apenas o arquivo Resources.resx possui código malicioso, enquanto os demais são utilizados para a execução da cadeia de infecção. O ataque utiliza a técnica de AppDomainManager injection, explorando o mecanismo de inicialização de domínios do .NET Framework para executar código arbitrário dentro de processos legítimos.