APT Bilgisayar Korsanları, Asya Hükümetlerinde Windows 10 Sistemlerini Hedeflemek İçin NetamLoader Kötü Amaçlı Yazılımı Kullanıyor

NetamLoader adı verilen yeni bir kötü amaçlı yazılım çerçevesi, yalnızca Asya'daki devlet kurumlarının kullandığı özel bir Windows 10 sürümüne karşı kullanılıyor. Kampanya bir tedarik zinciri operasyonuna benziyor ve henüz bilinen bir siber saldırı grubuyla bağlantısı kurulmadı. Kötü amaçlı yazılım, bir Windows güncelleme paketinin içine gizleniyor, çalışmak için güvenilir yazılımları kullanıyor ve kendi izlerini siliyor. Ayrıca operatörleriyle çok yavaş iletişim kurar, bu nedenle kısa güvenlik kontrolleri bunu gözden kaçırabilir. Güvenli görünen ve bilinen bir satıcı tarafından imzalanmış bir dosya bile bir virüsün parçası olabilir. Kaspersky GReAT ekibinin araştırma blogu Securelist'teki analistler, kötü amaçlı yazılımı belirledi ve 29 Ekim 2026 'da teknik raporun tamamını yayınladı. Kaspersky, 2026 yılının ilk yarısında, tehdit ağının şüpheli bir .config dosyasını işaretlemesiyle bu durumu ilk kez fark etti. Dosya, Windows'un güncelleme paketlerini sakladığı klasördeki bir CAB arşivinin içinde bulunuyordu. APT Hacker'ları NetamLoader Kötü Amaçlı Yazılımını Kullanıyor

İlk bakışta arşiv zararsız görünüyordu. Most files were real parts of Patch My PC, a third-party patch tool, and the .NET files used in the chain were signed by Microsoft. Only one file, Resources.resx, held harmful code. Researchers did not see how the archive reached the victim. They also found no sign that Patch My PC itself was compromised. The chain starts when PatchMyPC-ScriptRunner.exe runs. Its config file uses AppDomainManager injection in attacks to load code before the program’s main function starts. That config points to a Microsoft-signed module, which reads a second file named fabric.config. This file makes Windows open Resources.resx, and a flaw in the old BinaryFormatter feature then runs the first hidden XAML script. From there, the layers unpack one after another. Her katman kodlanır, sıkıştırılır veya şifrelenir ve ilk şifre çözme anahtarı çalışan programın komut satırından gelir.