Eksperci z Kaspersky zidentyfikowali nową, zaawansowaną kampanię typu APT, wymierzoną w specjalnie dostosowane wersje systemu Windows 10 używane przez instytucje rządowe w Azji. Atak opiera się na frameworku NetamLoader, który prawdopodobnie jest wynikiem ataku na łańcuch dostaw.
Iniekcja rozpoczyna się poprzez złośliwy plik konfiguracyjny wykorzystujący mechanizm AppDomainManager do ładowania nieautoryzowanych bibliotek .NET. Proces ten wykorzystuje luki w klasie DataCacheFactoryConfiguration, co pozwala na manipulację plikami konfiguracyjnymi i ładowanie złośliwych zasobów ukrytych w plikach .resx.
Atakujący stosują wielowarstwową strukturę ładunków, w której kolejne etapy są deszyfrowane i ładowane w pamięci przy użyciu języka XAML. Wykorzystują do tego obiekty ObjectDataProvider oraz ResourceDictionary, co pozwala na wykonywanie logiki programistycznej bez bezpośredniego użycia plików wykonywalnych.
W celu uniknięcia wykrycia przez systemy antywirusowe, malware stosuje techniki bypassu AMSI oraz fragmentację ciągów znakowych (string splitting). Całość procesu jest niezwykle trudna do wykrycia, ponieważ wiele komponentów używa podpisanych cyfrowo bibliotek Microsoftu.
