セキュリティ · 2026年11月4日
アジアの政府機関を狙う高度な感染チェーン、NetamLoaderと名付けられたフレームワークが検出
サイバーセキュリティ研究者が、アジア地域の政府組織を標的とする高度な感染チェーンの詳細を明らかにした。この活動は、アジアの政府機関のみが使用するカスタム版のWindows 10を標的としており、NetamLoaderとコードネームされた未文書の.NETアセンブリ読み込みフレームワークの配備を伴う。
ロシアのサイバーセキュリティ企業Kasperskyが今週詳細を報告した。この成果物は2026年前半に検出され、Windowsキャビネットアーカイブファイル内にパッケージ化されていた。このファイルは、Windowsオペレーティングシステムの更新パッケージを保存するディレクトリに配置されていた。Kasperskyのテレメトリデータは、アジアに単一の被害者がいることを特定した。標的とされたアジアの国は開示されていないが、Microsoftが中国政府および国有企業向けに提供するWindows 10 China Government Editionの存在から、中国である可能性が高いと推測されている。
この操作はサプライチェーン攻撃に関与していると疑われている。これは、悪意ある行為者が信頼できるサードパーティのベンダーを侵害し、そのサービスやソフトウェアに依存する下流のユーザーへのアクセスを得るものである。アーカイブ内には7つのファイルが含まれており、そのうち4つはエンドポイント管理ソフトウェアであるPatch My PCの正当なコンポーネントである。悪意あるコードが埋め込まれているのはResources.resxを除くファイルではない。感染チェーンは2段階のプロセスとして展開される。
対象のサンプルには、任意の.NETアセンブリを読み込むためにAppDomainManager注入を利用する.configファイルが特徴的である。AppDomainManager注入は.NETアプリケーションが起動する際に.NET FrameworkのAppDomainManagerメカニズムをハイジャックして任意のペイロードを読み込むための敵対的技術である。このアプローチは.NET Frameworkのアプリケーションドメイン初期化を標的としてコード実行を達成する。その結果はDLLサイドラディングと同様で、合法的なアプリケーションのプロセス内で悪意あるコードを実行し、レーダーを逃れることを目的としている。CABアーカイブの正確な配信手段は依然として不明である。