NetamLoader Malware Targets Government Windows 10 Systems in Asia via .NET Injection

In­ves­ti­ga­do­res de ci­ber­se­gu­ri­dad han dado a co­no­cer una com­ple­ja ca­de­na de in­fec­ción di­ri­gi­da a en­ti­da­des gu­ber­na­men­ta­les en Asia. El ata­que afec­tó una ver­sión per­so­na­li­za­da de Win­dows 10 uti­li­za­da ex­clu­si­va­men­te por or­ga­nis­mos es­ta­ta­les en dicha re­gión, em­plean­do un marco de carga de en­sam­bla­jes .NET hasta ahora des­co­no­ci­do y de­no­mi­na­do Ne­tam­Loa­der. Las in­ves­ti­ga­cio­nes no han per­mi­ti­do atri­buir estas ac­cio­nes a nin­gún grupo de pi­ra­tas in­for­má­ti­cos es­pe­cí­fi­co, ni se ha con­fir­ma­do con cer­te­za si hubo más de un sis­te­ma com­pro­me­ti­do o si se sus­tra­jo in­for­ma­ción con­fi­den­cial.

El ar­te­fac­to ma­li­cio­so fue de­tec­ta­do den­tro de un ar­chi­vo de ga­bi­ne­te de Win­dows ubi­ca­do en una ruta des­ti­na­da a al­ma­ce­nar pa­que­tes de ac­tua­li­za­ción del sis­te­ma ope­ra­ti­vo, lo que su­gie­re un po­si­ble ata­que a la ca­de­na de su­mi­nis­tro me­dian­te la vul­ne­ra­ción de un pro­vee­dor ex­terno de con­fian­za. El me­ca­nis­mo de ata­que uti­li­za la in­yec­ción de App­Do­main­Ma­na­ger a tra­vés de un ar­chi­vo de con­fi­gu­ra­ción para eje­cu­tar có­di­go ma­li­cio­so den­tro de pro­ce­sos le­gí­ti­mos, pa­san­do así des­aper­ci­bi­do. Den­tro del ar­chi­vo com­pri­mi­do se ha­lla­ron com­po­nen­tes de un soft­wa­re de ges­tión de ter­mi­na­les, donde solo uno de los ar­chi­vos in­te­gra­ba el có­di­go ocul­to ne­ce­sa­rio para ini­ciar el pro­ce­so.

La in­fec­ción se de­sa­rro­lla en múl­ti­ples fases que in­vo­lu­cran ar­chi­vos de con­fi­gu­ra­ción, có­di­go XAML, en­sam­bla­jes .NET y datos en for­ma­to JSON que ac­túan de ma­ne­ra coor­di­na­da. Entre sus fun­cio­nes se en­cuen­tran eva­dir he­rra­mien­tas de se­gu­ri­dad, co­mu­ni­car­se con un ser­vi­dor de co­man­do y con­trol para re­ci­bir ins­truc­cio­nes, re­co­pi­lar in­for­ma­ción del sis­te­ma y eli­mi­nar ras­tros de su ac­ti­vi­dad para ocul­tar sus ope­ra­cio­nes. Los datos ana­li­za­dos hasta el mo­men­to iden­ti­fi­can a una única víc­ti­ma, apun­tan­do a que el sis­te­ma ope­ra­ti­vo ata­ca­do po­dría co­rres­pon­der a la edi­ción es­pe­cial di­se­ña­da para el go­bierno chino, en un con­tex­to donde di­ver­sas na­cio­nes bus­can mayor au­to­no­mía tec­no­ló­gi­ca me­dian­te el de­sa­rro­llo de sus pro­pias pla­ta­for­mas de soft­wa­re.