Detectan el malware NetamLoader en Windows 10 de instituciones gubernamentales, camuflado como actualizaciones legítimas

Hackers desconocidos atacaron una versión especial de Windows 10 destinada a organismos estatales en Asia. El malware NetamLoader se ocultaba entre los componentes de la actualización del sistema, utilizó bibliotecas firmadas por Microsoft y eludía la protección de Windows.

Especialistas de Kaspersky Lab detectaron un archivo sospechoso en la primera mitad de 2026. El antivirus observó una configuración inusual de .NET dentro de un archivo CAB en el directorio Windows SoftwareDistribution. La comprobación inicial no reveló código malicioso. La mayoría de los archivos pertenecían a la herramienta legítima Patch My PC, y las bibliotecas de Microsoft tenían firmas digitales válidas.

Un análisis posterior reveló una cadena de infección multinivel. El ejecutable PatchMyPC-ScriptRunner.exe se iniciaba junto con una configuración modificada que activaba el mecanismo AppDomainManager. A través del comportamiento vulnerable de una clase estándar de Microsoft, el programa cargaba el archivo Resources.resx con contenido oculto. En su interior había componentes cifrados que se ejecutaban de forma secuencial.

La herramienta principal fue NetamLoader, que empleaba XAML, el lenguaje de marcado de interfaces de .NET, para ejecutar operaciones maliciosas. Los atacantes ocultaron archivos XAML adicionales, ensamblados y configuraciones en varias capas de codificación, compresión y cifrado. Una de las claves AES se calculaba a partir de la línea de comandos de ejecución, por lo que parámetros incorrectos impedían descifrar el contenido.

El siguiente componente eludía AMSI, la interfaz de Windows para la comprobación antivirus de scripts. En lugar de desactivar la protección, el malware modificaba el puntero del método de escaneo en la tabla de funciones virtuales. Tras la sustitución, la comprobación devolvía el resultado AMSI_RESULT_CLEAN, que indica ausencia de amenazas. Métodos de evasión similares se han observado en otros ataques.

Luego NetamLoader comprobaba privilegios de administrador, eliminaba archivos temporales, registros de actualizaciones y rastros de ejecución de los registros de Windows. Mediante COM y un mecanismo de deserialización, el malware trasladaba la siguiente parte del código al proceso dllhost.exe. Ese cambio rompía la cadena de procesos original y dificultaba la detección por herramientas EDR que monitorizan el comportamiento sospechoso de los programas.

Tras afianzarse dentro de dllhost.exe, el cargador recopilaba información sobre Windows y .NET, buscaba la configuración del proxy y preparaba una conexión segura con la infraestructura de control. Para el intercambio se empleaban AES-128-CBC y HMAC-SHA256. Antes del primer contacto, el programa podía mantener una pausa de 20 a 40 minutos, y si no había respuesta aplazaba el reintento entre 22 y 28 horas.

En el análisis técnico los investigadores señalaron el dominio de control openaigpt4v[.]com. A pesar del nombre, no hay una conexión confirmada del dominio con OpenAI. Según la telemetría de Kaspersky, solo se pudo detectar una víctima en Asia. El propósito gubernamental del sistema lo indica el directorio CmitUpdateAgent, vinculado, presumiblemente, a una compilación de Windows 10 adaptada especialmente.

Los investigadores consideran posible un ataque a través de la cadena de suministro, pero no observaron cómo llegó el archivo CAB al equipo. Tampoco lograron vincular NetamLoader con un grupo APT conocido. El caso recuerda ataques a actualizaciones anteriores, cuando un mecanismo de entrega de software de confianza se convertía en un canal de intrusión. Aquí el peligro particular lo representaba la combinación de componentes legítimos de Windows y código cuidadosamente oculto.