REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Kaspersky analyse un paquet placé parmi des mises à jour Windows. NetamLoader utilise des configurations et assemblages .NET légitimes pour charger d’autres composants ; l’apparence officielle ne suffit pas à qualifier l’ensemble du paquet.
Déroulement décrit par la source
- L’échantillon apparaît au premier semestre 2026 lorsqu’un fichier de configuration présent dans une archive CAB déclenche une alerte ; plusieurs composants initiaux sont légitimes ou signés.
- L’exécution de PatchMyPC-ScriptRunner.exe charge sa configuration avant sa fonction principale, dans le mécanisme d’injection AppDomainManager décrit par les chercheurs.
- Kaspersky estime que la chaîne indique fortement une attaque de chaîne d’approvisionnement visant une version Windows personnalisée pour des administrations asiatiques, sans attribution établie à un groupe connu.
Comprendre les mécanismes et les enseignements
- Une configuration peut être un élément exécutable de fait lorsqu’elle commande le chargement d’assemblages. Les contrôles d’intégrité doivent porter sur le paquet complet et ses fichiers voisins, au-delà du seul exécutable dont la signature a été validée.
- La position d’un fichier dans un répertoire de mise à jour ne garantit pas sa provenance. Les équipes doivent pouvoir relier un paquet à un mécanisme de distribution attendu et vérifier son contenu avec une référence indépendante de la machine potentiellement compromise.
Les vérifications défensives utiles
- Inventorier les outils de mise à jour et les images personnalisées déployées. Conserver les références approuvées et les traces de distribution ; comparer les archives et configurations retrouvées aux éléments attendus avant de relancer un paquet suspect pour en tester le fonctionnement.
- Sur un poste concerné, préserver la chaîne de processus et les fichiers de configuration associés aux exécutables .NET. Examiner les chargements d’assemblages et les communications sortantes inhabituels ; tenir compte des fichiers signés lorsqu’ils apparaissent dans un chemin ou contexte d’exécution inattendu.
- Isoler les terminaux suspects et vérifier les autres appareils issus de la même source de déploiement. Avec l’équipe qui maintient l’image, établir un paquet de référence sain, révoquer les accès exposés et définir les conditions de reconstruction et de retour en service.
Portée et limites
La qualification de chaîne d’approvisionnement reste l’analyse de Kaspersky, pas une responsabilité démontrée de Patch My PC ou de Microsoft. Le cas ne prouve pas que leurs distributions officielles sont compromises. L’opérateur, le périmètre complet et la voie initiale de modification du paquet restent non établis ici.
Rapport original
Unknown APT uses NetamLoader to attack a Win10 OS customized for governments in Asia — securelist.com.