Malware NetamLoader infecta Windows 10 exclusivo de governos asiáticos
A Kaspersky detectou o malware NetamLoader em um computador com um build customizado do Windows 10 usado exclusivamente por organizações governamentais da Ásia, no primeiro semestre de 2026. O malware estava em um diretório de atualização do Windows, misturado a arquivos legítimos do Patch My PC e assemblies .NET assinados pela Microsoft, o que leva à suspeita de ataque à cadeia de suprimentos. Só um sistema infectado foi identificado, não há atribuição a grupo conhecido nem confirmação de roubo de dados, e as fontes não citam correção.
O que aconteceu
A Kaspersky detectou o malware NetamLoader em um computador com um build customizado do Windows 10 usado exclusivamente por organizações governamentais da Ásia, no primeiro semestre de 2026. O malware estava escondido em uma pasta de atualização do Windows, misturado a arquivos legítimos, o que sugere ataque à cadeia de suprimentos. Só um sistema infectado foi identificado.
Por que importa
Segundo a Kaspersky, o malware atrapalha a varredura de segurança do Windows, oculta sua atividade, apaga arquivos e logs do sistema, coleta informações da máquina, baixa código adicional e se comunica com infraestrutura dos atacantes por conexões criptografadas. Não houve confirmação de roubo de dados, mas a capacidade de baixar programas extras mantém a operação e os dados do governo expostos a qualquer carga futura. A Kaspersky avalia que a manipulação de um sistema específico do governo indica conhecimento detalhado do alvo.
O que fazer
Tratar máquinas com esse build customizado do Windows 10 como possivelmente comprometidas: verificar diretórios do Windows Update e do Patch My PC por pacotes suspeitos e monitorar o processo dllhost.exe com comportamento anômalo. Investigar conexões de saída criptografadas desconhecidas e preservar logs, já que o malware pode apagá-los.
Para o time técnico
- Afetados
- Build customizado do Windows 10 distribuído a governos asiáticos (malware NetamLoader escondido em pasta do Windows Upda · Build customizado do Windows 10 usado exclusivamente por organizações governamentais da Ásia. País e agência não identificados pela Kaspersky; só um sistema infectado confirmado.
- Exploração
- Malware detectado em um sistema real pela Kaspersky no primeiro semestre de 2026. The Record relata suspeita de hackers de nação-estado, mas a Kaspersky não vincula o ataque a nenhum grupo APT conhecido. Sem PoC pública mencionada e sem confirmação de roubo de dados.
- Correção
- Não citado nas fontes.
- Vetor
- Suspeita de ataque à cadeia de suprimentos: pacote malicioso armazenado em um diretório usado pelo Windows Update, misturado a componentes legítimos do Patch My PC e assemblies .NET assinados pela Microsoft, com payloads XAML para driblar a varredura de segurança. Cadeia de infecção usa injeção em .NET com um framework de carregamento de assemblies antes não documentado, ocultação no dllhost.exe e download de código adicional. A Kaspersky não confirmou como o malware chegou à máquina nem se a infraestrutura de atualização foi comprometida.
- Mais detalhes
- O malware interfere na varredura de segurança do Windows, oculta sua atividade, apaga arquivos e logs do sistema, coleta informações da máquina infectada e se comunica com infraestrutura dos atacantes por conexões criptografadas. A Kaspersky diz que a capacidade de reconhecer e manipular componentes de um sistema Windows específico de governo sugere conhecimento detalhado da tecnologia do alvo, e destaca o risco de sistemas operacionais customizados, em que cada país protege sozinho todo o ecossistema.
Linha do tempo
Kaspersky detalha a cadeia de infecção: injeção em .NET com um framework de carregamento de assemblies antes não documentado.
Kaspersky detalha a cadeia de infecção do NetamLoader: componentes legítimos do Patch My PC, assemblies assinados pela Microsoft e payloads XAML para driblar a varredura de segurança, com o malware oculto no dllhost.exe e baixando código adicional.
Novos detalhes sobre o funcionamento do NetamLoader: o malware usa componentes legítimos da Microsoft para executar código malicioso, escapar de ferramentas de segurança e baixar programas adicionais nos computadores infectados.
Quer as próximas atualizações no seu e-mail? Inscreva-se na edição diária →
Ver todas as 4 atualizações
Kaspersky atribui a um APT desconhecido o envenenamento do build do Windows 10 com o NetamLoader.
Fontes 4 fontes
- @IntCyberDigest @IntCyberDigest
- Hackers target government Windows systems in Asia with new malware The Record
- @DarkWebInformer @DarkWebInformer
- NetamLoader Malware Targets Government Windows 10 Systems in Asia via .NET Injection The Hacker News
