LONDON (IT BOLTWISE) – Sicherheitsforscher beschreiben eine mehrstufige Malware-Kette, die speziell eine Windows-10-Variante für Behörden in Asien angreift. Im Zentrum steht das.NET-Ladeframework NetamLoader, das über AppDomainManager-Injection Code in legitimen Prozessen platziert. Die Infektion startet über ein CAB-Archiv, das Patch-My-PC-Komponenten als Köder nutzt, und springt anschließend über verschachtelte XAML- und JSON-Payloads in eine C2-gestützte Ausführung. Offen bleibt, ob weitere Systeme kompromittiert wurden und ob dabei sensible Daten abgegriffen wurden.
Die Beschreibung wirkt wie ein Lehrbeispiel dafür, wie modern Malware heute in Unternehmens- und Behördenumgebungen „unauffällig“ auftreten soll: Statt einen einzelnen Exploit auszunutzen, bauen die Angreifer eine Kette aus Lade- und Entschlüsselungsschritten, die sich eng an die Mechanismen des.NET-Frameworks anlehnt. NetamLoader, so der von Sicherheitsforschern genannte Name des.NET-Assembly-Loading-Frameworks, zielt laut den vorliegenden Details auf eine speziell angepasste Windows-10-Installation für Regierungsstellen in Asien. Der Angriff wurde in der ersten Hälfte 2026 als Artefakt nachgewiesen, aber es gibt nach wie vor keine Zuschreibung zu einem bekannten Threat Actor oder einer bekannten Gruppe.
Technisch startet die Verteilung offenbar über ein Windows-CAB-Archiv, das in einen Ordner kopiert wird, der normalerweise für Windows-Update-Pakete genutzt wird. Konkret wird der CAB-Dateipfad mit C: \Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24 angegeben; anschließend werden die Inhalte in C: \Windows\SoftwareDistribution\Download\Install\ entpackt. Dieses Detail ist mehr als nur ein Fundort: Die Nähe zu typischen Systempfaden soll die Sichtbarkeit reduzieren, weil viele Sicherheitsroutinen gerade diese Bereiche als „normal“ behandeln. Im Archiv finden sich sieben Dateien, darunter mehrere legitime Komponenten, die mit Patch-My-PC in Verbindung stehen, während nur eine zentrale Konfigurationsdatei den Einstieg in die eigentliche Manipulation liefert.
Der Kerntrick liegt in der Art, wie eine schadhafte.NET-Baugruppe in einen laufenden, legitimen Prozess eingebunden wird. Das Vorgehen nutzt eine .config-Datei, die AppDomainManager-Injection anstößt: Dabei wird die AppDomainManager-Mechanik des.NET Frameworks beim Start einer.NET-Anwendung „umgelenkt“, sodass beim Initialisieren der Application Domain beliebiger Code ausgeführt werden kann. Das Ergebnis wird in der Praxis als funktionales Gegenstück zum bekannten DLL-Sideloading beschrieben: Auch hier läuft die bösartige Logik im Kontext eines legitimen Programms, wodurch sich Spuren und Heuristiken oft weniger eindeutig gestalten. In der ersten Stufe dient „PatchMyPC-ScriptRunner.exe“ als Startpunkt, der dann die.config ausliest und über den beschriebenen AppDomainManager-Mechanismus weitere Assemblys triggert.
Von dort aus entkoppelt sich der Angriff in zwei klar getrennte Phasen, die stark auf „Defense-in-Depth“ innerhalb der eigenen Payload-Struktur setzen. In Stufe 1 wird zunächst Microsoft.HostIntegration.Connectors.dll über die Konfigurationskette geladen; diese findet wiederum „fabric.config“ im gleichen Verzeichnis und verarbeitet sie, um verschachtelte Inhalte aus Resources.resx zu extrahieren. Letzteres enthält laut Analyse mehrere Ebenen aus kodierten, komprimierten oder verschlüsselten Daten, darunter XAML-Dateien, .NET-Assemblies und JSON-Strukturen. Diese Komponenten sind nicht zufällig gewählt: XAML-1 fungiert als Loader für eine eingebettete zweite Stufe, während XAML-2 die eigentliche Transition vorbereitet, unter anderem mit einem Schritt, der Antimalware Scan Interface (AMSI) umgehen soll.
In Stufe 2 wird die Ausführung dann stärker in Richtung Command-and-Control (C2) gesteuert, ohne dass der Payload-Standort „hart“ im System verankert sein muss. XAML-2-2 enthält zwei Teile, darunter einen.NET-Loader (als „.NET 1 Loader“ beschrieben) und ein JSON-Paket (JSON-1). JSON-1 trägt dabei die C2-Konfiguration (JSON-1-c) und liefert außerdem eine Base64-kodierte Datei, die als.NET 2 Plugin bezeichnet wird, sowie komprimierte, verschlüsselte XAML-Templates für die nächsten Schritte. Der.NET-1-Loader übergibt dann das Entschlüsseln, Zusammenbauen und Laden an XAML-3, das im Kontext von „dllhost.exe“ läuft. Damit verschiebt sich das „Suspicious“-Profil weg vom offensichtlichen Einstieg und hin zu einem Prozess, der in Windows-Umgebungen ohnehin häufig vorkommt.
Das.NET 2 Plugin übernimmt anschließend die operative Kontrolle: Es liest die C2-Konfiguration, sammelt Systeminformationen aus der Windows-Registry, prüft, ob der Wirtsprozess „dllhost.exe“ ist, und wartet vor der ersten Anfrage eine zufällige Verzögerung von 20 bis 40 Minuten. Danach startet es eine Polling-Schleife mit einem komplexen Taktbild: Bei gültigen Antworten pausiert es für 5 bis 6 Minuten, andernfalls wartet es deutlich länger (22 bis 28 Stunden) und prüft dabei in 10-Minuten-Intervallen, ob die Zeitspanne abgelaufen ist. Als C2-Adresse wird dabei eine Domain genannt, und der Ablauf ist so gestaltet, dass er sowohl bei aktiven als auch bei „lauernden“ Phasen möglichst wenig gleichförmige Muster erzeugt. Zusätzlich nennt die Analyse Mechanismen zum Löschen extrahierter Dateien aus dem CAB, zur Bereinigung von CLR-Nutzungslogs und sogar zum Entfernen von Windows Prefetch-Cache-Dateien, um Spuren zu verwischen.
Auch wenn Kaspersky in den vorliegenden Informationen nur von einem einzelnen Opfer in Asien spricht, bleibt die Zielausrichtung klar: NetamLoader ist auf einen Windows-10-Build zugeschnitten, der „regierungsspezifisch“ verwendet wird. Das angegriffene Land wird nicht benannt, als wahrscheinlich gilt jedoch China, weil Microsoft eine „Windows 10 China Government Edition“ anbietet, die speziell für chinesische Regierungs- und staatliche Stellen gedacht ist. Der politische Kontext passt dazu: Anfang August berichteten Medien, dass chinesische Behörden dazu angehalten wurden, die „Government Edition“ zugunsten chinesischer Linux-Distributionen zu reduzieren, mit Verweis auf Datensicherheitsbedenken. In diesem Umfeld wirkt eine Malware-Kette, die sich ausgerechnet auf eine staatliche OS-Variante konzentriert, besonders unbequem für IT-Entscheider.
Für die Branche ist der Fall vor allem als Signal relevant, dass sich Angriffe zunehmend an die internen Programmierschnittstellen und Initialisierungsmechanismen moderner Plattformen heften. Die Kombination aus AppDomainManager-Injection, mehrstufigen XAML- und JSON-Payloads sowie Taktung über lange Wartefenster zeigt, dass hier nicht nur „Exploit-Know-how“, sondern auch umfangreiche Entwicklungsarbeit in Richtung modularer Payload-Architektur steckt. Gleichzeitig stellt sich die Frage nach den Konsequenzen für Abwehrteams: Wenn Legitimitätsanker wie Patch-My-PC-Dateien und Windows-typische Pfade genutzt werden, reichen klassische Blacklists und einfache Signaturen oft nicht aus. Stattdessen wird die Erkennung stärker an Verhaltensindikatoren und an der Konsistenz von Prozess-, .NET- und Verzeichnisaktivitäten festgemacht werden müssen – gerade in Umgebungen, in denen der OS-Stack ohnehin „besonders“ vorkonfiguriert ist.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "NetamLoader: .NET-Injection attackiert Windows 10 in Asien" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "NetamLoader: .NET-Injection attackiert Windows 10 in Asien" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »NetamLoader: .NET-Injection attackiert Windows 10 in Asien« bei Google Deutschland suchen, bei Bing oder Google News!