NetamLoader tấn công hệ thống Windows 10 của chính phủ châu Á qua .NET injection

Phát hiện của Kaspersky

Các nhà nghiên cứu bảo mật đã công bố chi tiết về một chuỗi lây nhiễm được đánh giá là "cực kỳ tinh vi" nhắm vào các tổ chức chính phủ tại châu Á. Kaspersky cho biết hoạt động này nhắm vào một bản Windows 10 tùy chỉnh chỉ dành riêng cho các cơ quan chính phủ ở châu Á, đồng thời triển khai một framework tải assembly .NET chưa từng được ghi nhận trước đây, có tên mã là NetamLoader.

Hiện chưa xác định được nhóm tấn công nào đứng sau vụ việc, cũng chưa rõ liệu có nhiều hơn một hệ thống bị xâm nhập hay không và liệu tin tặc có đánh cắp được thông tin nhạy cảm nào hay không. Mẫu mã độc được phát hiện trong nửa đầu năm 2026, đóng gói trong một tệp lưu trữ CAB đặt tại thư mục lưu các gói cập nhật của hệ điều hành Windows. Công ty an ninh mạng Nga nghi ngờ đây là một vụ tấn công chuỗi cung ứng, trong đó kẻ xấu xâm nhập vào một nhà cung cấp bên thứ ba đáng tin cậy để tiếp cận người dùng hạ nguồn.

Cơ chế lây nhiễm

Mẫu mã độc chứa một tệp ".config" sử dụng kỹ thuật AppDomainManager injection để tải các assembly .NET tùy ý. Đây là thủ thuật lợi dụng cơ chế khởi tạo application-domain của .NET Framework khi một ứng dụng .NET khởi chạy, nhằm thực thi mã độc bên trong tiến trình của một ứng dụng hợp pháp để tránh bị phát hiện — tương tự như kỹ thuật DLL sideloading.

Theo Kaspersky, tệp CAB chứa tệp ".config" được đặt tại đường dẫn "C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24", sau đó nội dung được giải nén và thả vào "C:\Windows\SoftwareDistribution\Download\Install\". Cách thức phát tán chính xác của tệp CAB vẫn chưa được xác định.

Trong tệp lưu trữ có bảy tệp, trong đó bốn tệp là thành phần hợp pháp của Patch My PC — một phần mềm quản lý thiết bị đầu cuối. Ngoại trừ tệp "Resources.resx", không tệp nào chứa mã độc. Chuỗi lây nhiễm diễn ra theo hai giai đoạn:

• Việc thực thi "PatchMyPC-ScriptRunner.exe" đóng vai trò bệ phóng cho nhiều payload, lợi dụng AppDomainManager injection để phân tích "PatchMyPC-ScriptRunner.exe.config", dẫn đến việc chạy "Microsoft.HostIntegration.Connectors.dll".
• Sau khi được tải, DLL này tìm tệp "fabric.config" cùng thư mục và phân tích nội dung để tải "Resources.resx".

Tệp "Resources.resx" chứa nhiều lớp payload được mã hóa, nén hoặc mã hóa, bao gồm các tệp XAML, assembly .NET và dữ liệu JSON, được giải mã và tải bởi thành phần trước đó.

Các lớp payload

• XAML-1: bộ tải cho payload nhúng XAML-2.
• XAML-2: khởi tạo giai đoạn hai bằng cách tải hai tệp XAML nén và mã hóa Base64 là XAML-2-1 và XAML-2-2. XAML-2-1 dùng để vượt qua Antimalware Scan Interface (AMSI).
• XAML-2-2: chứa một module .NET (.NET 1 Loader) và một payload JSON (JSON-1).
• JSON-1: gồm JSON-1-c lưu cấu hình máy chủ C2 và JSON-1-p chứa tệp mã hóa Base64 (.NET 2 Plugin) cùng bộ mẫu XAML nén, mã hóa dùng để tạo XAML-3.
• XAML-3: chạy trong "dllhost.exe", giải mã, giải nén và tải .NET 2 Plugin.
• .NET 2 Plugin: tải cấu hình C2, thu thập thông tin hệ thống từ Windows Registry, kiểm tra tiến trình hiện tại có phải "dllhost.exe" hay không, chờ ngẫu nhiên 20-40 phút trước yêu cầu đầu tiên tới máy chủ C2 ("openaigpt4v[.]com"), rồi vào vòng lặp hỏi định kỳ để tải và thực thi một tệp XAML trong AppDomain riêng biệt.

Theo Kaspersky, nếu nhận phản hồi hợp lệ từ C2, vòng lặp tạm dừng 5-6 phút trước yêu cầu tiếp theo; nếu không, nó tạm dừng 22-28 giờ và kiểm tra mỗi 10 phút để xác định thời gian đã trôi qua chưa. Sau khi hoàn tất, .NET 1 Loader báo trạng thái về máy chủ C2 và xóa các tệp độc hại cùng nhật ký sử dụng CLR và tệp cache Prefetch của Windows để xóa dấu vết.

Nạn nhân và bối cảnh

Dữ liệu telemetry của Kaspersky xác định một nạn nhân duy nhất ở châu Á, với NetamLoader được thiết kế để tấn công bản Windows 10 tùy chỉnh dành riêng cho chính phủ. Dù không tiết lộ quốc gia cụ thể, các dấu hiệu cho thấy nhiều khả năng là Trung Quốc, vì Microsoft cung cấp phiên bản riêng có tên Windows 10 China Government Edition dành cho chính phủ và doanh nghiệp nhà nước Trung Quốc.

Trước đó vào tháng 8, Bloomberg đưa tin Bộ An ninh Quốc gia Trung Quốc đã yêu cầu một số cơ quan chính phủ ngừng dùng bản "Government Edition" để chuyển sang các bản phân phối Linux do Trung Quốc sản xuất, nhằm giảm phụ thuộc vào công nghệ nước ngoài. Kaspersky kết luận rằng trong bối cảnh địa chính trị hiện nay, ngày càng nhiều quốc gia xây dựng nền tảng phần mềm cốt lõi của riêng mình, trong đó hệ điều hành thường là ưu tiên hàng đầu; điều này mang lại quyền tự chủ nhưng cũng đồng nghĩa mỗi quốc gia phải tự bảo vệ toàn bộ hệ sinh thái rộng lớn đó.

Nguồn: The Hacker News