NetamLoader colpisce Windows 10 governativo asiatico: il paradosso della sovranità tecnologica

Il 29 ottobre 2026 Kaspersky ha reso pubblica l'analisi di NetamLoader, un malware framework .NET precedentemente sconosciuto che ha preso di mira una versione personalizzata di Windows 10 utilizzata esclusivamente da governi in Asia. L'attacco sfrutta componenti software legittimi — inclusi file firmati Microsoft — per occultare una catena di infezione multi-stadio che culmina in un bypass della protezione antimalware in memoria. La scoperta solleva interrogativi diretti su chi abbia accesso ai canali di distribuzione di un sistema operativo ritenuto sovrano.

Punti chiave

NetamLoader è un framework malware .NET mai documentato prima, scoperto da Kaspersky nel primo semestre 2026 con una sola vittima confermata in Asia.
L'attacco usa AppDomainManager injection su PatchMyPC-ScriptRunner.exe legittimo e sfrutta un design flaw in DataCacheFactoryConfiguration (assembly Microsoft-signed) per caricare payload nascosti in file .resx.
Il payload finale esegue in dllhost.exe tramite COM remoto dopo aver disabilitato AMSI in memoria con tecniche di patching del puntatore vtable, senza modificare il codice di Windows Defender.
Il malware è stato rinvenuto in un archivio CAB nella cartella Windows\SoftwareDistribution\Download\, indicando probabile compromissione del canale di aggiornamento del sistema operativo governativo custom.

La catena di fiducia compromessa: da file firmati a esecuzione in memoria

L'infezione parte da un archivio CAB posizionato in C:\Windows\SoftwareDistribution\Download\, la cartella che Windows utilizza per lo staging degli aggiornamenti. Secondo Kaspersky, la maggior parte dei file contenuti erano legittimi: componenti di Patch My PC e assembly firmati Microsoft. Questa mimetizzazione rende l'attacco invisibile a difese basate esclusivamente sulla reputazione del firmante.

Gli attaccanti hanno modificato un file .config per forzare il caricamento di un assembly .NET arbitrario tramite AppDomainManager injection nel processo PatchMyPC-ScriptRunner.exe legittimo. L'assembly malevolo sfrutta quindi una vulnerabilità di design in DataCacheFactoryConfiguration, un componente del Windows Server AppFabric Cache Client firmato Microsoft, per caricare un file .resx contenente oggetti serializzati con BinaryFormatter.

La deserializzazione attiva una catena TypeConfuseDelegate che porta all'esecuzione di codice XAML. Il primo stadio XAML genera la chiave AES dal command line del processo host applicando SHA-256; l'IV risiede nei primi 16 byte del payload. In caso di errore nella derivazione, il malware termina silenziosamente con Environment.Exit(0), evitando attività sospette.

Il secondo stadio XAML (XAML-2-1) esegue il bypass di AMSI in memoria. Non modifica il codice di Windows Defender: redireziona il puntatore a CAmsiAntimalware::Scan nella vtable verso Console.Clear(), sovrascrivendo l'istruzione con il bytecode 41 C7 00 01 00 00 00 33 C0 C3 per restituire permanentemente AMSI_RESULT_CLEAN. VirtualProtect consente la modifica del puntatore senza alterare il modulo AMSI sul disco.

Il payload finale opera in dllhost.exe tramite COM remoto. Questa scelta di processo host serve a eludere il monitoraggio EDR, che spesso tratta dllhost.exe come attività legittima del sistema operativo.

"Technological sovereignty has become a priority for many governments, and operating systems are often where it starts. Running your own platform gives you control, but it also means securing the entire ecosystem around it, from update channels to the maintenance tools it relies on, and that ecosystem takes time to mature." — Sergey Lozhkin, head of Kaspersky GReAT Research Center, APAC & META

Un'arma su misura contro un bersaglio di uno

Kaspersky ha rilevato una sola vittima e non ha collegato l'attacco a nessun APT noto. Il sistema compromesso non è una distribuzione Windows standard: è una build personalizzata utilizzata esclusivamente da entità governative in Asia. Il malware include logica specifica per cancellare i file di traccia di un componente di aggiornamento proprio di quel sistema operativo, oltre a disabilitare .NET ETW (Event Tracing for Windows), riducendo la visibilità forense.

Il plugin di raccolta informazioni implementa tempistiche deliberate: attende 20-40 minuti prima del primo contatto con il server C2, e 22-28 ore tra un tentativo e il successivo se non riceve risposta. Il traffico cifrato usa AES-128-CBC con HMAC; il dominio impersona un servizio AI ed è posizionato dietro Cloudflare, rendendo complesso il blocco a livello di infrastruttura senza analisi del payload.

La combinazione di targeting estremamente ristretto, conoscenza dettagliata dell'OS governativo, e accesso al canale di distribuzione degli aggiornamenti suggerisce un attore con risorse significative e visibilità sulla supply chain del sistema target. Non è un malware progettato per diffusione massiva: è uno strumento di precisione.

Supply chain o accesso interno: il punto di consegna rimane oscuro

Kaspersky indica che la presenza dell'archivio CAB nella cartella degli aggiornamenti "strongly indicates a supply-chain attack". Tuttavia la fonte tecnica principale non conferma che l'infrastruttura di aggiornamento di Windows o quella di Patch My PC siano state effettivamente compromesse. Resta ignoto come il file CAB sia arrivato sulla macchina vittima: compromissione del server di aggiornamento, accesso fisico, movimento laterale da un altro sistema della stessa rete, o altro vettore non documentato.

La società di sicurezza esclude esplicitamente che Patch My PC o Microsoft siano stati violati come entità. I componenti legittimi non sono stati alterati nella fonte: sono stati abusati nel contesto di distribuzione della vittima. Questa distinzione è cruciale per la valutazione del rischio: il problema non è il codice firmato, ma il contesto in cui viene eseguito.

Il design flaw in DataCacheFactoryConfiguration non è una vulnerabilità zero-day nel senso classico: è una debolezza architetturale nota che consente il caricamento di risorse esterne, abusata in combinazione con altre tecniche per ottenere esecuzione. Non è richiesta l'esistenza di un CVE non pubblicato per rendere l'attacco efficace.

Il paradosso della sovranità: autonomia che isola dal controllo

Il caso NetamLoader illustra una contraddizione strutturale dei sistemi operativi governativi. La build Windows 10 target offre autonomia dalle decisioni di Microsoft, ma crea un ecosistema di manutenzione e aggiornamento con visibilità ridotta rispetto alla supply chain globale. "The advantage is that each country controls the development, operation, and upgrading of its own operating systems, granting it full autonomy over the entire process. On the other hand, it also means that each country must protect this entire vast ecosystem on its own", si legge nel report Kaspersky citato da The Record.

Questo dualismo ha conseguenze operative immediate. I canali di aggiornamento di un OS custom non beneficiano della stessa sorveglianza della community e della stessa pressione commerciale che costringe i vendor globali a investire in sicurezza della supply chain. Un aggressore che identifichi questa asimmetria può concentrare risorse su un vettore di attacco con probabilità di rilevazione inferiori.

Per le organizzazioni che gestiscono ambienti Windows anche in versione standard, il caso introduce una variabile di giudizio: la firma Microsoft non è più indicatore sufficiente di innocuità. La domanda rilevante non è "è firmato?", ma "come interagiscono i componenti tra loro e da quale contesto di distribuzione provengono?".

Cosa fare adesso

Le seguenti azioni derivano direttamente dalle evidenze documentate da Kaspersky:

Verificare la presenza di file .config modificati accanto a eseguibili .NET in directory di aggiornamento, con particolare attenzione a SoftwareDistribution\Download\ e path simili.
Analizzare i log di esecuzione di dllhost.exe con attivazione COM remota non spiegata, specialmente quando associata a processi che normalmente non richiedono comunicazione di rete.
Monitorare l'uso di BinaryFormatter in ambienti .NET: la classe è deprecata per rischi di sicurezza documentati, e la sua presenza in file .resx o altre risorse serializzate richiede ispezione manuale.
Auditare i canali di distribuzione software interni: la compromissione del vettore di aggiornamento è indistinguibile da attività legittima fino all'analisi del contenuto dell'archivio, non solo della firma.

La precisione come firma

NetamLoader non lascia spazio all'interpretazione di un attacco opportunistico. L'assenza di attribuzione a un APT noto non equivale a assenza di sofisticazione: l'architettura multi-stadio, il targeting di un sistema operativo con accesso ristretto, e l'eliminazione selettiva dei log di un componente specifico indicano progettazione per obiettivi definiti. L'unica incognita rimane chi abbia commissionato e distribuito l'arma.

Per i governi asiatici con analoghi progetti di OS sovrani, il messaggio è tecnico e politico simultaneamente. La sovranità del codice non si estende automaticamente alla sovranità della supply chain: costruire un sistema operativo alternativo è solo il primo stadio di una catena di fiducia che include aggiornamenti, strumenti di terze parti, e la capacità di rilevare anomalie in contesti progettati per apparire legittimi. NetamLoader ha dimostrato che questa catena, in condizioni specifiche, è più fragile della somma dei suoi anelli apparentemente affidabili.

FAQ

NetamLoader colpisce solo sistemi Windows governativi asiatici?

Secondo Kaspersky, la vittima confermata è una sola e utilizza una build Windows 10 custom esclusiva di governi asiatici. Il malware include logica specifica per quel sistema. Non è noto se il framework possa operare su Windows standard o se sia stato riadattato.

Patch My PC e Microsoft sono stati compromessi?

No. Kaspersky esclude esplicitamente che i vendor siano stati violati. Gli attaccanti hanno abusato componenti legittimi già presenti o distribuiti nel contesto della vittima, non alterati nella fonte originale.

Perché non c'è attribuzione a un APT?

Kaspersky dichiara di non aver trovato sovrapposizioni infrastrutturali o tecniche che colleghino NetamLoader a gruppi noti. Questo non esclude attribuzioni future, ma allo stato non esistono evidenze pubbliche di connessione con campagne documentate.

Fonti

Fonti e riferimenti

Ricevi DeafLetter