Kaspersky dévoile le malware NetamLoader, utilisé contre des administrations asiatiques sur un Windows 10 sur mesure.

Kaspersky vient de publier une analyse d’une campagne particulièrement discrète. Le malware NetamLoader vise des organisations gouvernementales en Asie. Les chercheurs parlent d’une chaîne d’infection « hautement sophistiquée ». En effet, cette opération se distingue surtout par le choix de sa cible technique.

Ce que révèle Kaspersky sur le malware NetamLoader

Les chercheurs de Kaspersky ont détaillé cette activité cette semaine. Ils décrivent le déploiement d’un framework inédit, capable de charger des assemblies .NET. En effet, aucune documentation publique ne mentionnait cet outil jusqu’ici.

Un framework de ce type ne sert pas seulement à exécuter un programme. Il fonctionne comme une plateforme modulaire. Ainsi, les opérateurs peuvent charger différentes charges utiles selon leurs besoins. Ils peuvent également les remplacer sans refaire toute l’infrastructure.

Par ailleurs, le titre de l’analyse évoque une injection .NET. Autrement dit, du code malveillant serait exécuté à partir de composants qui ressemblent à des éléments légitimes de l’environnement Windows. Cette approche complique la détection. En effet, les outils de sécurité surveillent d’abord les exécutables classiques écrits sur le disque.

Un Windows 10 sur mesure comme cible

Le point le plus marquant concerne la cible. En effet, l’attaque vise une version personnalisée de Windows 10. Celle-ci est utilisée exclusivement par des entités gouvernementales en Asie.

Ce détail en dit long sur les attaquants. Ils connaissent précisément l’environnement qu’ils veulent compromettre. Ils ont donc adapté leur chaîne d’infection à ce système spécifique. Une telle préparation suppose du temps, des moyens et une bonne connaissance de la victime.

Cependant, les éléments dont nous disposons ne permettent pas d’aller plus loin. Le nom du groupe responsable n’est pas précisé ici. Le vecteur d’accès initial n’est pas détaillé non plus. De plus, aucun identifiant CVE n’est cité. Il convient donc de rester prudent sur l’attribution et sur l’ampleur réelle de la campagne.

Pourquoi un framework .NET inquiète les défenseurs

Le choix de .NET n’a rien d’anodin. Cette technologie est omniprésente sur les postes Windows. Ainsi, un chargeur qui s’appuie dessus se fond plus facilement dans l’activité normale du système.

De plus, les assemblies .NET peuvent être chargés directement en mémoire. Dans ce cas, peu de traces subsistent sur le disque. Les analyses forensiques deviennent alors plus délicates. Par conséquent, les équipes de sécurité doivent surveiller le comportement des processus, et pas seulement les fichiers.

Cette discrétion est précieuse pour des opérations d’espionnage. Les attaquants cherchent généralement à rester longtemps dans le réseau. Leur objectif n’est pas de faire du bruit. En revanche, ils veulent collecter des informations sans éveiller les soupçons.

Enfin, un framework modulaire offre une grande souplesse. Les opérateurs peuvent ajuster leurs capacités au fil de la campagne. Par conséquent, la menace peut évoluer sans que le chargeur initial ne change.

Comment se protéger du malware NetamLoader

Les administrations utilisant des systèmes personnalisés doivent revoir leur posture de défense. En effet, un système sur mesure ne garantit pas la sécurité. Il peut même créer une fausse impression de protection par l’obscurité. Voici quelques mesures de bon sens, valables pour ce type de menace.

• Surveiller la mémoire et les processus : privilégiez des solutions EDR capables de détecter le chargement suspect d’assemblies .NET.
• Activer la journalisation avancée : les journaux PowerShell et les événements liés à .NET aident à repérer les comportements anormaux.
• Restreindre les exécutions : appliquez des listes d’autorisation, par exemple avec AppLocker ou Windows Defender Application Control.
• Segmenter le réseau : limitez les déplacements latéraux depuis un poste compromis.
• Maintenir les correctifs : même une build personnalisée doit recevoir les mises à jour de sécurité.

Ce qu’il faut retenir

• Kaspersky décrit une chaîne d’infection très élaborée visant des organisations gouvernementales en Asie.
• La cible est une build personnalisée de Windows 10, réservée aux entités publiques de la région.
• Le framework de chargement d’assemblies .NET n’avait jamais été documenté auparavant.
• Le malware NetamLoader illustre ainsi la montée en puissance des attaques ciblées et sur mesure.
• La détection comportementale et la surveillance de la mémoire restent des défenses essentielles.

Les détails techniques complets figurent dans le rapport de Kaspersky. Les équipes de sécurité concernées devraient donc le consulter pour récupérer les indicateurs de compromission. Ensuite, elles pourront les rechercher dans leur propre environnement.

Source : NetamLoader Malware Targets Government Windows 10 Systems in Asia via .NET Injection