NetamLoader Zararlı Yazılımı Asya’daki Kamu Kuruluşlarını Hedef Aldı

NetamLoader Zararlı Yazılımı Asya’daki Kamu Kuruluşlarını Hedef Aldı

Siber güvenlik araştırmacıları, Asya’daki kamu kuruluşlarını hedef alan “son derece sofistike bir enfeksiyon zinciri” olarak tanımlanan saldırının detaylarını açıkladı.

Kaspersky tarafından bu hafta detaylandırılan bu aktivite, Asya’daki kamu kuruluşları tarafından özel olarak kullanılan özelleştirilmiş bir Windows 10 sürümünü hedef aldı ve daha önce belgelenmemiş, NetamLoader kod adlı bir .NET derleme yükleme çerçevesinin dağıtımını içeriyor.

Saldırı, bilinen herhangi bir tehdit aktörüne veya grubuna atfedilmedi. Ayrıca, sızmanın birden fazla sistemi tehlikeye atıp atmadığı veya bilgisayar korsanlarının hassas bilgileri çalıp çalmadığı da belirsiz.

Rus siber güvenlik şirketi, zararlı yazılımın 2026 yılının ilk yarısında, Windows işletim sistemi güncelleme paketlerini depolayan bir dizine yerleştirilmiş bir Windows kabin arşivi (CAB) dosyası içinde tespit edildiğini belirtti.

Operasyonun, kötü niyetli aktörlerin güvenilir bir üçüncü taraf satıcıyı tehlikeye atarak hizmetlerine veya yazılımlarına güvenen alt kullanıcılarına erişim sağladığı bir tedarik zinciri saldırısı içerdiği düşünülüyor.

NetamLoader Nasıl Çalışıyor?

Söz konusu örnek, rastgele .NET derlemelerini yüklemek için AppDomainManager enjeksiyonunu kullanan bir “.config” dosyasına sahip. AppDomainManager enjeksiyonu, bir .NET uygulaması başladığında .NET Framework’ün AppDomainManager mekanizmasını ele geçirerek rastgele yükleri yüklemek için kullanılan düşmanca bir teknik.

Başka bir deyişle, bu yaklaşım kod yürütme sağlamak için .NET Framework’ün uygulama alanı başlatmasını hedefliyor. Sonuç, DLL yan yüklemesi ile aynıdır: meşru bir uygulamanın süreci içinde kötü amaçlı kod çalıştırmak ve böylece tespit edilmeden kalmak.

Kaspersky’ye göre, .config dosyasını içeren CAB arşivi “C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24” yoluna yerleştirildi ve içeriği “C:\Windows\SoftwareDistribution\Download\Install\” içine çıkarıldı.

CAB arşivinin tam dağıtım yöntemi bilinmiyor. Arşivde yedi dosya bulunuyor; bunlardan dördü bir uç nokta yönetim yazılımı olan Patch My PC’nin meşru bileşenleri:

• fabric.config
• Microsoft.HostIntegration.Connectors.dll
• PatchMyPC-Enum.dll
• PatchMyPC-Models.dll
• PatchMyPC-ScriptRunner.exe
• PatchMyPC-ScriptRunner.exe.config
• Resources.resx

“Resources.resx” dışındaki hiçbir dosya kötü amaçlı kod içermiyor. Enfeksiyon zinciri iki aşamalı bir süreç olarak ilerliyor:

• “PatchMyPC-ScriptRunner.exe”nin yürütülmesi, çeşitli yükler için bir başlangıç noktası görevi görüyor. AppDomainManager enjeksiyonunu kötüye kullanarak “PatchMyPC-ScriptRunner.exe.config”i ayrıştırır ve “Microsoft.HostIntegration.Connectors.dll”nin yürütülmesine neden olur.
• Yüklendikten sonra, “Microsoft.HostIntegration.Connectors.dll” aynı dizinde bulunan “fabric.config”i bulur ve içeriğini ayrıştırarak “Resources.resx”i yükler.
• “Resources.resx”, XAML dosyaları, .NET derlemeleri ve JSON verileri gibi kodlanmış, sıkıştırılmış veya şifrelenmiş “birden fazla katman” yük içerir. Bunlar, kendisinden önceki bileşen tarafından çözülür ve yüklenir.

Yüklerin Detayları

Bu yüklerin kısa bir açıklaması aşağıda listelenmiştir:

• XAML-1, gömülü bir yük olan XAML-2 için bir yükleyici.
• XAML‑2, iki sıkıştırılmış ve Base64‑kodlu XAML dosyasını (XAML-2-1 ve XAML-2-2) yükleyerek saldırı zincirinin ikinci aşamasını başlatır. XAML-2-1, Kötü Amaçlı Yazılımdan Koruma Tarama Arabirimini (AMSI) atlamak için kullanılır.
• XAML-2-2 iki bölüm içerir: bir .NET modülü (diğer adıyla .NET 1 Yükleyici) ve bir JSON veri yükü (diğer adıyla JSON-1).
• JSON-1, iki bileşen içeren JSON yükü: komuta ve kontrol (C2) sunucusu yapılandırmasını depolayan JSON-1-c ve Base64‑kodlu bir dosya (.NET 2 Eklentisi) ile XAML-3‘ü oluşturmak için kullanılan sıkıştırılmış, şifrelenmiş XAML şablonları koleksiyonunu içeren JSON-1-p.
• XAML-2-2, .NET 1 Yükleyiciyi yükler. Bu yükleyici daha sonra XAML‑3 için şifre çözme, birleştirme ve yükleme görevi görür, durumu C2 sunucusuna bildirir ve CAB arşivinden çıkarılan kötü amaçlı dosyaları, CLR kullanım günlüklerini ve Windows sistem Prefetch önbellek dosyalarını izleri kapatmak için siler.
• XAML-3, “dllhost.exe” içinde çalışan ve .NET 2 Eklentisini çözmek, sıkıştırmayı açmak ve yüklemek için tasarlanmış XAML yükü.
• .NET 2 Eklentisi, C2 yapılandırmasını yükleyen, Windows Kayıt Defteri’nden sistem bilgilerini toplayan, mevcut ana bilgisayar sürecinin “dllhost.exe” olup olmadığını kontrol eden, C2 sunucusuna (“openaigpt4v[.]com”) ilk isteğini göndermeden önce 20-40 dakikalık rastgele bir gecikme bekleyen ve yalıtılmış bir AppDomain’de bir XAML dosyasını almak ve yürütmek için periyodik bir yoklama döngüsüne giren bir .NET derlemesi.

Kaspersky, “C2’den geçerli bir yanıt alınırsa, döngü bir sonraki istekten önce 5-6 dakika duraklar; aksi takdirde, ayrılan sürenin geçip geçmediğini belirlemek için her 10 dakikada bir kontrol ederek 22-28 saat duraklar” diye açıkladı.

Hedeflenen Kurban ve Jeopolitik Bağlam

Kaspersky tarafından toplanan telemetri verileri, Asya’da tek bir kurbanı tespit etti. NetamLoader, yalnızca kamu kullanımı için özelleştirilmiş bir Windows 10 sürümünü hedeflemek üzere tasarlandı. Hedeflenen Asya ülkesi açıklanmasa da, Microsoft’un Çin hükümeti ve devlete ait kuruluşlar için özel olarak Windows 10 Çin Hükümet Sürümü adında özel bir sürüm sunması nedeniyle bunun Çin olması muhtemel.

Bu Ağustos ayının başlarında Bloomberg, Çin Devlet Güvenlik Bakanlığı’nın bazı kamu kuruluşlarına, yabancı teknolojiye olan bağımlılığını azaltma çabalarının bir parçası olarak “Hükümet Sürümü” yerine Çin yapımı Linux dağıtımlarını kullanmayı bırakmalarını emrettiğini bildirdi.

Bloomberg, “Pekin’in talimatının veri güvenliği endişelerinden kaynaklandığını” ve “konuya aşina kişilere” atıfta bulunduğunu belirtti. O zaman ek detaylar açıklanmadı.

Kaspersky, “Günümüzün jeopolitik ikliminde, giderek artan sayıda ülke, işletim sistemleri, veritabanları, ara yazılımlar ve bulut hizmetleri dahil olmak üzere kendi çekirdek yazılım platformlarını inşa ediyor ve işletim sistemleri genellikle en önemli öncelik” diye özetledi.

“Avantajı, her ülkenin kendi işletim sistemlerinin geliştirilmesini, işletilmesini ve yükseltilmesini kontrol etmesi ve tüm süreç üzerinde tam özerklik sağlamasıdır. Öte yandan, bu aynı zamanda her ülkenin bu geniş ekosistemin tamamını kendi başına koruması gerektiği anlamına gelir. Böyle bir sistemin işletimini ve bakımını olgunluğa ulaştırmak uzun bir süreçtir.”