Especialistas en ciberseguridad han publicado un análisis de una campaña que utilizó un marco de carga de ensamblados .NET hasta ahora no documentado, apodado NetamLoader, para ejecutar código malicioso en una edición personalizada de Windows 10 empleada por entidades gubernamentales en Asia.
Qué es NetamLoader y cómo funciona
NetamLoader es un framework que aprovecha la inyección del AppDomainManager del .NET Framework. Esa técnica permite interceptar el proceso de inicialización de dominios de aplicación (.NET AppDomain) para cargar ensamblados arbitrarios cuando se inicia una aplicación legítima, con un efecto similar al DLL sideloading: ejecutar código malicioso dentro del proceso de una aplicación de confianza para evadir detecciones.
Según Kaspersky, el artefacto fue encontrado dentro de un archivo CAB ubicado en directorios del sistema relacionados con actualizaciones de Windows. El archivo CAB contenía varios ficheros —varios de ellos legítimos de una solución de gestión de endpoints— y un archivo de configuración (.config) que implementaba la inyección del AppDomainManager para forzar la carga del ensamblado malicioso.
Cadena de infección y posible vía de acceso
La investigación muestra que el CAB fue colocado en la ruta de SoftwareDistribution, con sus contenidos extraídos y depositados en una carpeta de instalación del sistema. Kaspersky indica que la entrega inicial del CAB no está identificada con certeza, pero los indicios apuntan a una posible contaminación de la cadena de suministro, en la que actores maliciosos comprometen software o servicios de terceros para alcanzar a los usuarios finales.
El ataque descrito por Kaspersky se desarrolla en dos etapas: primero un mecanismo local que habilita la ejecución del ensamblado malicioso mediante la inyección en AppDomainManager; y después una etapa de comunicación con servidores de mando y control (C2) que regula la actividad del malware según las respuestas recibidas.
A quién afecta y alcance conocido
La telemetría citada por los investigadores identifica un único equipo afectado en Asia y señala que NetamLoader estaba diseñado para atacar una compilación de Windows 10 personalizada para uso exclusivo gubernamental. Kaspersky no atribuye la operación a ningún actor conocido ni ha publicado evidencias de exfiltración de datos o compromisos adicionales en otros sistemas.
Por motivos operativos y políticos no se ha revelado el país objetivo, aunque el informe apunta que podría tratarse de una edición gubernamental específica ofrecida en esa región.
Qué deben hacer administradores y responsables de TI
- Revisar integridad de actualizaciones y paquetes: comprobar archivos y rutas en SoftwareDistribution y en directorios de instalación por artefactos inusuales, como CABs sospechosos o .config que no correspondan al software desplegado.
- Auditar componentes de terceros: verificar la cadena de suministro de herramientas de gestión de endpoints y otros proveedores, confirmando firmas y fuentes de distribución.
- Monitorear procesos .NET: vigilar arranques de aplicaciones .NET y la presencia de AppDomainManager no esperados o modificaciones en archivos de configuración que afecten al comportamiento de la plataforma .NET.
- Aplicar controles de ejecución: limitar privilegios, usar listas de permitidos (whitelisting) para ejecutables y ensamblados críticos y emplear soluciones EDR que detecten inyección en AppDomainManager o ejecuciones en procesos legítimos.
Los administradores que detecten indicadores similares deberían recopilar telemetría antes de limpiar los equipos y, si procede, compartir muestras con su proveedor de seguridad para análisis forense.
Contexto y reflexión
El caso de NetamLoader subraya cómo los atacantes buscan técnicas que aprovechen mecanismos legítimos de plataformas (.NET en este caso) para ejecutar código sin ser detectados. También recuerda la dificultad de proteger ecosistemas a medida usados por organismos estatales: al personalizar sistemas operativos y dependencias, aumenta la superficie que hay que asegurar y las responsabilidades sobre actualizaciones y revisiones de terceros.
Lee también:
- Las passkeys mejoran la autenticación, pero no eliminan el riesgo de identidad
- FBI atribuye a TraderTraitor el mayor robo en criptomonedas: más de 6.4 millardos de dólares
Fuente: The Hacker News
