Sicherheitsexperten des Global Research and Analysis Team von Kaspersky haben einen hochentwickelten Cyberangriff aufgedeckt, der sich gezielt gegen Regierungsorganisationen in Asien richtet.
Wie das Unternehmen anlässlich des Security Analyst Summit 2026 im indonesischen Bali bekannt gab, nahmen die Angreifer eine speziell angepasste Version von Windows 10 ins Visier. Diese maßgeschneiderte Betriebssystemvariante wird ausschließlich von staatlichen Institutionen eines einzelnen asiatischen Landes eingesetzt.
Unbekanntes Malware-Framework NetamLoader im Einsatz
Nach Angaben der IT-Sicherheitsforscher setzten die Angreifer auf legitime Softwarekomponenten, um ein bisher unentdecktes Schadprogramm namens NetamLoader auszuführen. Das komplexe Framework basiert auf XAML sowie dem Laden von .NET-Assemblies und dient primär dazu, weiteren Schadcode aus dem Netz nachzuladen und auf dem kompromittierten System zur Ausführung zu bringen.
Die Analyse der Infektionskette deutet stark auf einen gezielten Supply-Chain-Angriff auf das modifizierte Windows-Abbild hin. Erste Hinweise auf die Aktivität traten in der ersten Hälfte 2026 auf.
Angriffe auf Betriebssysteme und Software-Schnittstellen zeigen, wie verwundbar digitale Infrastrukturen heute sind. Dieser kostenlose Report klärt darüber auf, welche rechtlichen Pflichten und Bedrohungen Unternehmen jetzt kennen müssen, um sich proaktiv zu schützen. Cyber Security Report jetzt kostenlos herunterladen
Über das weltweite Threat-Monitoring-Netzwerk des Unternehmens fiel eine verdächtige Konfigurationsdatei mit AppDomainManager-Injection auf. Diese befand sich innerhalb eines Archivs im Windows-Update-Verzeichnis unter dem Pfad C:WindowsSoftwareDistributionDownload.
Die Angreifer machten sich dabei das Vertrauen in legitime Systembestandteile zunutze: Während die meisten ausführenden Dateien zu regulären Komponenten von Patch My PC gehörten, waren die genutzten .NET-Assemblies von Microsoft signiert. Eine tatsächliche Kompromittierung der Infrastruktur von Patch My PC wurde von den Forschern jedoch nicht bestätigt.
Ausgeklügelte Tarnung und verschleierte Kommunikation
NetamLoader zeichnet sich durch umfangreiche Mechanismen zur Verschleierung und Abwehrüberwindung aus. Die Schadsoftware missbraucht neben der AppDomainManager-Injection auch TypeConfuseDelegate und wendet Methoden an, um die Antimalware-Schnittstelle von Windows zu umgehen, indem sie einen unbedenklichen Scanstatus erzwingt.
Um Spuren auf dem Zielsystem zu verwischen, löscht das Programm temporäre Dateien der ersten Ausführungsstufe, Protokolle zur CLR-Nutzung sowie Prefetch-Dateien. Zudem bereinigt es gezielt Update-Protokolle und filtert relevante Einträge aus dem Verzeichnis der Systemprotokolle.
Da Cyberkriminelle immer raffiniertere Methoden zur Tarnung einsetzen, wird die proaktive Absicherung der IT-Infrastruktur für Organisationen zur Pflicht. Erfahren Sie in diesem kostenlosen E-Book, wie Sie Sicherheitslücken schließen und Ihre Systeme ohne hohe Investitionen langfristig absichern können. Gratis-E-Book zur Cyber Security sichern
Auch bei der Netzwerkkommunikation gingen die Akteure vorsichtig vor. Die erste Kontaktaufnahme zu den Steuerungsservern erfolgt laut den Analysen mit einer zeitlichen Verzögerung von 20 bis 40 Minuten. Erhält das System dabei keine gültige Antwort, schaltet die Schadsoftware in eine Wartezeit von 22 bis 28 Stunden. Ein integrierter Überwachungstimer beendet den gesamten Prozess nach etwa 28 Stunden automatisch.
Über das interne Telemetrienetzwerk konnte bislang ein betroffenes Opfer in Asien identifiziert werden. Eine direkte Verbindung zu einer bereits bekannten APT-Gruppe stellten die Sicherheitsforscher bislang nicht fest.
In den Sicherheitsprodukten von Kaspersky wird die Schadsoftware unter den Signaturen HEUR:Trojan.MSIL.NetamLoader.gen, Trojan.MSIL.Zapchast sowie Trojan.Script.Agent erfasst. Die detaillierten technischen Ergebnisse wurden begleitend auf der Analyseplattform Securelist veröffentlicht.