NetamLoader использует XAML для выполнения последовательных этапов

Неидентифицированный злоумышленник применил NetamLoader в цепочке заражения, которая, по всей видимости, предназначалась для кастомной сборки Windows 10, используемой государственными органами в Азии. В отчёте указан один пострадавший в Азии. Предположительно, произошла компрометация цепочки поставок, однако это не подтверждено. Источник активности не удалось связать ни с одной известной хакерской группировкой.

Первым компонентом цепочки был архив CAB, размещённый среди пакетов обновлений Windows. В нём находились преимущественно легитимные файлы Patch My PC и подписанные Microsoft сборки .NET. Специально созданный файл конфигурации использовал инъекцию AppDomainManager и уязвимость в DataCacheFactoryConfiguration, чтобы загружать произвольные сборки.

NetamLoader использует шаблоны XAML для построения и выполнения последовательных этапов. Начальный компонент XAML проверяет, запущен ли процесс в 64-разрядном режиме, и отключает сканирование AMSI, перенаправляя метод сканирования на изменённый код. Затем компонент декодирует и загружает загрузчик первого этапа на базе .NET и его конфигурацию в формате JSON.

Загрузчик проверяет конфигурацию и наличие прав администратора, создаёт идентификатор экземпляра и собирает дополнительные файлы XAML с плагином .NET. Он также устанавливает значение переменной COMPlus_ETWEnabled в 0, подавляя события ETW в среде .NET. С помощью RPC загрузчик создаёт удалённый объект COM и эксплуатирует неизвестную уязвимость десериализации бинарных данных с применением TypeConfuseDelegate, чтобы выполнить следующий этап в процессе dllhost.exe.

Плагин .NET проверяет процесс-хост, закрепляет его в памяти, откладывает первый запрос к серверу C2 на случайный срок от 20 до 40 минут и задаёт ограничение времени выполнения примерно в 28 часов. Он собирает сведения о системе, обнаруживает настройки прокси несколькими методами и периодически связывается с сервером C2 по HTTPS. Трафик шифруется с помощью AES-128-CBC и аутентифицируется с использованием HMAC. Клиент проверяет сертификат сервера по заданным параметрам, а ответы C2 содержат XAML, который плагин выполняет в изолированной доменной области .NET (AppDomain).

Вредоносная программа также удаляет файлы и журналы, связанные с обновлениями, очищает следы криминалистического анализа, включая Prefetch и журналы использования CLR, редактирует пользовательские журналы обновлений и удаляет ключи реестра, применяемые для отслеживания исключений. Выявленный домен C2 использует инфраструктуру Cloudflare.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.