NetamLoader ataca Windows 10 de governos asiáticos

Pesquisadores da Kaspersky identificaram uma campanha de ataque cibernético direcionada a organizações governamentais na Ásia, utilizando uma cadeia de infecção sofisticada para comprometer uma versão personalizada do Windows 10, desenvolvida exclusivamente para instituições públicas.

A operação envolve um framework malicioso até então desconhecido, denominado NetamLoader, que utiliza técnicas de injeção no .NET Framework, múltiplas camadas de ofuscação e mecanismos para dificultar sua detecção.

A campanha ainda não foi atribuída a nenhum grupo hacker conhecido. Também não há confirmação de que mais de um sistema tenha sido comprometido ou de que informações confidenciais tenham sido roubadas.

Suspeita de comprometimento da cadeia de suprimentos

Segundo a Kaspersky, o artefato malicioso foi identificado no primeiro semestre de 2026, armazenado em um arquivo Windows Cabinet (CAB) dentro de um diretório utilizado pelo sistema operacional para gerenciar pacotes de atualização.

Os pesquisadores suspeitam que a operação possa envolver um ataque à cadeia de suprimentos (supply chain attack), no qual invasores comprometem um fornecedor confiável para alcançar organizações que utilizam seus produtos ou serviços.

O arquivo CAB foi encontrado no seguinte caminho:

C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24

Seu conteúdo foi extraído para o diretório:

C:\Windows\SoftwareDistribution\Download\Install\

O método utilizado para distribuir o arquivo ainda não foi identificado.

O pacote continha sete arquivos, incluindo quatro componentes legítimos do Patch My PC, software utilizado para gerenciamento de endpoints e aplicações:

fabric.config
Microsoft.HostIntegration.Connectors.dll
PatchMyPC-Enum.dll
PatchMyPC-Models.dll
PatchMyPC-ScriptRunner.exe
PatchMyPC-ScriptRunner.exe.config
Resources.resx

De acordo com a análise, apenas o arquivo Resources.resx continha código malicioso incorporado. Os demais componentes eram utilizados para viabilizar a execução da cadeia de infecção.

Como funciona a cadeia de ataque do NetamLoader

O ataque utiliza a técnica conhecida como AppDomainManager injection, que explora o mecanismo de inicialização de domínios de aplicação do .NET Framework para executar código arbitrário dentro de processos legítimos.

O funcionamento é semelhante ao DLL sideloading, pois permite carregar componentes maliciosos utilizando aplicações confiáveis, reduzindo a probabilidade de detecção.

A execução começa com o arquivo legítimo PatchMyPC-ScriptRunner.exe, que processa uma configuração manipulada em PatchMyPC-ScriptRunner.exe.config.

Essa configuração provoca o carregamento de Microsoft.HostIntegration.Connectors.dll, responsável por localizar e interpretar o arquivo fabric.config.

Em seguida, o componente carrega Resources.resx, que contém diversas camadas de arquivos XAML, assemblies .NET e dados JSON codificados, comprimidos ou criptografados.

A estrutura foi organizada em dois estágios principais, com diferentes componentes responsáveis pela execução e comunicação com a infraestrutura dos invasores.

Múltiplas camadas de execução e evasão

No primeiro estágio, o componente XAML-1 funciona como carregador de um segundo payload, denominado XAML-2.

O XAML-2 inicia a próxima etapa ao carregar dois arquivos XAML comprimidos e codificados em Base64.

O primeiro, XAML-2-1, é utilizado para contornar o Antimalware Scan Interface (AMSI), mecanismo de segurança do Windows responsável por permitir a inspeção de conteúdos potencialmente maliciosos.

O segundo, XAML-2-2, contém um módulo chamado .NET 1 Loader e um conjunto de dados JSON denominado JSON-1.

O JSON-1 armazena as configurações de comunicação com o servidor de comando e controle (C2), além de outro módulo .NET e modelos XAML criptografados utilizados para construir o payload XAML-3.

O .NET 1 Loader é responsável por descriptografar, montar e carregar esse novo componente. Também comunica o estado da execução ao servidor C2 e remove arquivos maliciosos extraídos do pacote CAB.

Para dificultar a investigação, o malware apaga registros de utilização do Common Language Runtime (CLR) e arquivos do cache Prefetch do Windows, reduzindo os vestígios de sua atividade.

Comunicação com servidores de comando e controle

Na etapa seguinte, o XAML-3 é executado dentro do processo legítimo dllhost.exe, onde carrega o componente final, denominado .NET 2 Plugin.

Esse módulo reúne informações do sistema por meio do Registro do Windows, verifica se está sendo executado no processo esperado e estabelece comunicação com a infraestrutura dos invasores.

O endereço de comando e controle identificado pelos pesquisadores é:

openaigpt4v[.]com

Antes da primeira conexão, o malware aguarda um intervalo aleatório entre 20 e 40 minutos, comportamento destinado a dificultar a identificação de padrões de atividade suspeita.

Após estabelecer comunicação, o componente passa a consultar periodicamente o servidor C2 para receber arquivos XAML adicionais, que podem ser executados em domínios de aplicação isolados.

Segundo a Kaspersky, quando recebe uma resposta válida, o malware aguarda entre cinco e seis minutos antes da próxima consulta.

Caso contrário, o intervalo aumenta para 22 a 28 horas, com verificações a cada dez minutos para determinar quando uma nova tentativa deverá ocorrer.

Essa combinação de atrasos variáveis e execução dinâmica de componentes contribui para reduzir a exposição do malware a mecanismos tradicionais de monitoramento.

Ataque pode ter como alvo o governo chinês

Os dados de telemetria da Kaspersky identificaram apenas uma vítima na Ásia, utilizando uma versão do Windows 10 personalizada para uso governamental.

Embora o país afetado não tenha sido divulgado, existem indícios de que o sistema possa estar relacionado à China.

A Microsoft oferece uma edição específica denominada Windows 10 China Government Edition, desenvolvida para instituições governamentais e empresas estatais chinesas.

Entretanto, essa associação não confirma que a vítima esteja localizada no país.

Em agosto de 2026, a Bloomberg informou que o Ministério da Segurança do Estado da China havia determinado que algumas agências governamentais abandonassem essa versão do Windows em favor de distribuições Linux desenvolvidas por empresas chinesas.

A orientação estaria relacionada a preocupações com a segurança dos dados e à estratégia de reduzir a dependência de tecnologias estrangeiras.

A Kaspersky destacou que diversos países estão investindo no desenvolvimento de plataformas próprias, incluindo sistemas operacionais, bancos de dados, middleware e serviços de nuvem.

Embora essa estratégia amplie a autonomia tecnológica, também transfere aos governos a responsabilidade de proteger e manter ecossistemas complexos de software.

No caso do NetamLoader, a origem da infecção permanece desconhecida, assim como os objetivos finais dos invasores e a eventual ocorrência de exfiltração de informações.