大家好，我是AI紫队安全研究。建议大家把公众号“AI紫队安全研究”设为星标，否则可能就无法及时看到啦！因为公众号只对常读和星标的公众号才能大图推送。操作方法：先点击上面的“AI紫队安全研究”，然后点击右上角的【...】,然后点击【设为星标】即可。
关注视频号 “AI紫队安全研究” 不定期周五晚上10点直播。
导语
一套来历不明的高级恶意框架NetamLoader浮出水面。攻击者瞄准亚洲国家政府机构专用定制版Windows10，整套攻击大量复用微软官方签名组件、合法更新工具，多层XAML嵌套加密载荷；入侵后主动清理全部取证痕迹，通信刻意超长延时躲避沙箱，运行满28小时进程自动自杀销毁。
最关键：截至报告发布，无法把该活动归因到任何已知APT组织。恶意载荷藏在Windows系统更新目录，高度怀疑是供应链投毒攻击，普通静态杀毒很难发现蛛丝马迹。
🎯攻击目标背景
攻击者的目标不是普通商用Windows，而是专供亚洲政府机构使用的定制化Windows10操作系统。
样本最早在2026上半年由卡巴斯基KSN遥测捕获，仅观测到1例实际受害记录，但恶意框架是专门针对这套定制OS开发，目标明确指向政府政务环境。
研判高度怀疑属于供应链攻击：恶意CAB压缩包被投放进系统更新下载目录`C:\Windows\SoftwareDistribution\Download\`，目录本身是Windows存放更新包的官方路径，天然具备高可信度。
⚙️完整多阶段杀伤链：全程滥用微软合法组件
迷惑点：CAB包里面大部分程序是正版`Patch My PC`补丁管理工具，可执行文件本身没有病毒，恶意逻辑全部藏在config配置、resx资源文件中，静态扫描很容易直接放行。
阶段1：AppDomainManager注入打开突破口
1. 恶意CAB归档释放文件至`C:\Windows\SoftwareDistribution\Download\Install\`目录，包含：
`PatchMyPC‑ScriptRunner.exe`、`PatchMyPC‑ScriptRunner.exe.config`、`fabric.config`、`Resources.resx`
2. 运行合法程序`PatchMyPC‑ScriptRunner.exe`，配套恶意config配置，利用 AppDomainManager注入，加载微软签名程序集`Microsoft.HostIntegration.Connectors.dll`。
3. 该dll读取同目录`fabric.config`，配置文件引用恶意`Resources.resx`资源文件。
4. 利用.NET经典BinaryFormatter反序列化漏洞 + TypeConfuseDelegate技术，解析resx，触发执行第一层XAML‑1载荷。
重点：所有dll是微软官方签名，攻击者没有篡改二进制，只是篡改配置文件，实现代码执行。
阶段2：多层嵌套解密XAML载荷，层层剥离
XAML不只是UI界面，攻击者用`ObjectDataProvider`在XAML内直接编写可执行逻辑：
1. XAML‑1：读取当前进程命令行，SHA256哈希生成AES密钥，解密出XAML‑2；解密失败直接静默退出进程，不抛出报错，规避告警。
2. XAML‑2：解压Base64数据，拆分成两份子载荷：
XAML‑2‑1：核心任务：内存修补绕过AMSI反恶意软件扫描。把敏感字符串拆成碎片运行时拼接，修改虚函数表，让AMSI扫描永远返回“干净无威胁”。
XAML‑2‑2：释放`.NET1 Loader`加载器 + JSON格式C2全套配置。
阶段3：.NET1 Loader完成环境清理、提权校验、进程隔离
.NET1 Loader拿到JSON配置后，会做一整套“毁灭证据”操作：
1. 清除本地取证痕迹
删除CAB释放出来的全部恶意配置文件；
清理CLR日志、Prefetch预读取缓存；
篡改定制Windows独有的`CmitUpdateAgent`更新日志，抹除攻击相关记录；
删除、篡改注册表AppID下GUID子键，销毁异常执行日志。
2. 权限校验：必须管理员权限，否则直接抛出异常终止攻击。
3. 生成本机唯一恶意实例ID，读取Windows Update的`SusClientId`生成设备指纹。
4. 利用RPC COM漏洞，把后续全部恶意逻辑迁移到系统自带合法进程 dllhost.exe运行。
好处：脱离原始感染进程，进程树断裂，EDR很难溯源原始入口。
阶段4：.NET2 Plugin驻留，超长延时反沙箱通信
dllhost.exe内部加载最终后门.NET2 Plugin，这是真正驻留执行的核心模块，设计充满反分析诡计：
1. 反沙箱延时机制
初始C2连接强制等待 20‑40分钟；
C2服务器无响应，休眠22‑28小时再重试；
设置看门狗定时器：运行满28小时，自动执行Exit(0)进程自杀，不留长期驻留。
2. 网络加密体系：AES‑128‑CBC + HMAC‑SHA256，Encrypt‑then‑MAC加密校验流量，C2域名`openaigpt4v[.]com`后端托管在Cloudflare CDN，伪装AI服务域名。
3. 自动探测系统代理（WinHTTP / explorer进程模拟用户环境），适配政府内网代理环境，保证内网也能外联C2。
4. 高级跨AppDomain执行技术：新建隔离AppDomain，利用`MulticastDelegate`缺陷远程解析执行C2下发的XAML恶意脚本，执行完直接卸载整个应用域，内存痕迹尽可能清除。
整个攻击链几乎不落地恶意exe，大量逻辑存在于配置、资源、内存中，对传统基于样本哈希的查杀非常不友好。
🔍狩猎检测要点（SOC/运维可直接落地）
1、重点文件路径狩猎
```
C:\Windows\SoftwareDistribution\Download\Install\PatchMyPC‑ScriptRunner.exe.config
C:\Windows\SoftwareDistribution\Download\Install\fabric.config
C:\Windows\SoftwareDistribution\Download\Install\Resources.resx
```
在Windows更新下载目录出现这三个陌生文件，属于高风险告警，该目录正常业务不会存放PatchMyPC第三方工具文件。
2、进程&行为告警规则
1. `dllhost.exe`产生对外HTTPS出站访问，进程无正常业务；
2. PatchMyPC‑ScriptRunner.exe从`SoftwareDistribution\Download\Install`目录启动；
3. 系统出现对`openaigpt4v[.]com`域名的访问；
4. 清理`%WINDIR%\Logs\CmitUpdateAgent`日志、删除CLR UsageLogs、Prefetch缓存的异常进程行为；
5. 程序修改注册表`HKLM\SOFTWARE\Classes\appid`下大量随机GUID子键。
3、威胁产品检测标签
卡巴斯基检测名称：
`HEUR:Trojan.MSIL.NetamLoader.gen`、`Trojan.MSIL.Zapchast.`、`Trojan.Script.Agent.`
📌安全行业深度思考
1. 供应链风险蔓延到定制化政务操作系统
很多国家打造政府专属定制Windows，追求技术自主，但配套更新、第三方补丁管理工具，如果更新链路被污染，恶意载荷可以混进系统更新目录，获得天然信任地位。
2. 恶意代码不再依赖EXE二进制，配置文件成为新攻击载体
攻击者不篡改exe，只篡改`.config`、`.resx`这类资源配置，依靠微软签名的官方dll完成执行。传统只查杀PE文件的防御手段会直接失效，防御必须扩展到配置文件、资源文件行为审计。
3. “定时自杀式”APT战术正在兴起
NetamLoader不会永久驻留，最多存活28小时自动销毁自身。就算入侵成功，留给安全人员取证窗口期极短，事后回溯难度极大。
4. XAML成为APT新武器
XAML不只是界面描述语言，借助`ObjectDataProvider`可以直接执行C#逻辑，多层嵌套加密，正在越来越多地被APT用来做内存载荷。
⚠️重要说明：报告目前没有将NetamLoader关联任何已知APT组织，TTP、基础设施暂未和海莲花、Lazarus等团伙形成完整证据链，不要直接归为已知威胁团伙。
结尾互动
你遇到过恶意逻辑藏在config、resx配置资源文件的真实攻击事件吗？政务、关键基础设施运维同行欢迎转发，关注这种针对定制操作系统的新型APT威胁。
加入知识星球，可获取权益
一、"全球高级持续威胁：网络世界的隐形战争"，总共26章，为你带来体系化认识APT，欢迎感兴趣的朋友入圈交流。
二、为什么加入？
职场瓶颈期找不到突破方向？安全项目落地缺成熟方案？面对APT攻击、勒索病毒不知如何构建防御体系？
三、在这里，你能获得的不只是资料包，而是直接对接行业专家的「私人顾问服务」
✅ 职业发展「精准导航」
1v1简历优化：针对安全岗（渗透测试/安全运营/合规等）拆解JD，突出核心竞争力；
晋升避坑指南：从工程师到安全负责人，分享晋升路径，避开「技术强但管理弱」的晋升陷阱；
技能栈规划：根据你的基础（应届生/3年经验/资深专家）定制学习路线，比如从0到1学SOC安全建设、APT威胁狩猎。
✅ 安全方案「对症开方」
实战方案库：含医疗/制造业/等行业的勒索防御、数据安全合规、供应链安全加固方案（附落地工具清单+成本测算）；
架构设计咨询：小到EDR选型，大到零信任体系搭建，提供「预算效果」平衡的最优解（已帮10+企业节省40%防护成本）。
✅ 圈子资源「直接对接」
大厂安全负责人拆解真实案例（如某支付公司攻防对抗的实战复盘）；
四、适合谁？
想突破职业天花板的安全工程师/架构师；
需快速落地安全项目的企业负责人；
关注行业动态的安全爱好者或IT从业人员。
喜欢文章的朋友动动发财手点赞、转发、赞赏，你的每一次认可，都是我继续前进的动力。