Kaspersky detalla NetamLoader, un malware que ataca una versión de Windows 10 solo usada por gobiernos en Asia

La cadena abusa de la inyección AppDomainManager de .NET y llega empaquetada en un archivo CAB. Kaspersky vio un solo objetivo y no atribuyó el ataque.

Kaspersky describió esta semana una cadena de infección «muy sofisticada» contra organizaciones gubernamentales en Asia, informó The Hacker News el 1 de noviembre de 2026. El marco de carga, hasta ahora no documentado, se llama NetamLoader y apunta a una compilación personalizada de Windows 10 usada solo por entidades estatales en esa región.

El artefacto se detectó en la primera mitad de 2026, dentro de un archivo CAB colocado en una carpeta de paquetes de actualización de Windows. Kaspersky sospecha un ataque a la cadena de suministro: alguien habría comprometido un proveedor de confianza para llegar a sus clientes.

El archivo .config usa inyección de AppDomainManager para cargar ensamblados .NET arbitrarios cuando arranca una aplicación .NET. El efecto es similar a un sideloading de DLL: correr código malicioso dentro de un proceso legítimo.

En el CAB había siete archivos; cuatro eran componentes legítimos de Patch My PC, un software de gestión de endpoints. Solo Resources.resx llevaba código malicioso. La telemetría de Kaspersky identificó un solo objetivo en Asia; indicios apuntan a China y a la edición gubernamental de Windows 10.

Kaspersky no atribuyó la campaña a ningún grupo conocido y no confirmó si se robaron datos sensibles. En agosto, Bloomberg reportó que el Ministerio de Seguridad del Estado de China ordenó a algunas agencias dejar esa edición a favor de distribuciones Linux locales.

Fuente: The Hacker News: «NetamLoader Malware Targets Government Windows 10 Systems in Asia via .NET Injection», 1 de noviembre de 2026.