พบมัลแวร์ NetamLoader มุ่งโจมตีระบบ Windows 10 ของหน่วยงานรัฐในเอเชียผ่านเทคนิค .NET Injection - Thailand Computer Emergency Response Team (ThaiCERT)

596/69 (IT) ประจำวันจันทร์ที่ 2 พฤศจิกายน 2569

นักวิจัยด้านความมั่นคงปลอดภัยทางไซเบอร์จาก Kaspersky เปิดเผยรายงานการค้นพบการโจมตีที่มีความซับซ้อนสูง ซึ่งพุ่งเป้าไปยังหน่วยงานภาครัฐในภูมิภาคเอเชียโดยเฉพาะ มีรายงานว่าการโจมตีครั้งนี้ใช้เฟรมเวิร์กมัลแวร์รูปแบบใหม่ที่ชื่อว่า NetamLoader เพื่อเจาะระบบปฏิบัติการ Windows 10 รุ่นปรับแต่งพิเศษสำหรับใช้งานในหน่วยงานรัฐ เบื้องต้นคาดว่าอาจเป็นการโจมตีแบบ Supply Chain Attack โดยผู้ไม่ประสงค์ดีอาจเจาะระบบผ่านผู้ให้บริการภายนอกที่น่าเชื่อถือ เพื่อเข้าถึงผู้ใช้งานปลายทาง เหตุการณ์นี้แสดงให้เห็นถึงความเสี่ยงสำคัญต่อระบบโครงสร้างพื้นฐานด้านซอฟต์แวร์ของภาครัฐ แม้จะยังไม่สามารถระบุกลุ่มผู้โจมตีที่แน่ชัดหรือยืนยันความเสียหายของข้อมูลได้ในขณะนี้

จากการวิเคราะห์การทำงานของมัลแวร์พบว่า กระบวนการโจมตีถูกแบ่งออกเป็นสองระยะ โดยเริ่มต้นจากการซ่อนไฟล์บีบอัดประเภท CAB ไว้ในไดเรกทอรีสำหรับดาวน์โหลดอัปเดตของ Windows ในระยะแรกมัลแวร์จะใช้เทคนิค AppDomainManager Injection ผ่านการเรียกใช้งานไฟล์ที่ดูเหมือนถูกต้องอย่าง PatchMyPC-ScriptRunner.exe เพื่อหลอกให้ระบบประมวลผลไฟล์ PatchMyPC-ScriptRunner.exe.config ที่ถูกดัดแปลง จากนั้นระบบจะทำการโหลดไฟล์ Microsoft.HostIntegration.Connectors.dll เพื่ออ่านค่าจาก fabric.config และดึงโค้ดอันตรายที่ซ่อนอยู่ในไฟล์ Resources.resx ออกมาเพื่อเข้าสู่ระยะที่สอง ซึ่งเป็นกระบวนการถอดรหัสเพย์โหลดที่ซ้อนทับกันหลายชั้น โดยมัลแวร์มีการใช้ไฟล์ XAML (XAML-2-1) เพื่อทำการแพตช์และข้ามผ่านระบบตรวจจับมัลแวร์ของ Windows (AMSI) และมีการส่งต่อข้อมูลผ่าน .NET 1 Loader เพื่อเตรียมค่าคอนฟิกูเรชันสำหรับเชื่อมต่อกับเซิร์ฟเวอร์ควบคุม (C2 Server) โดยมัลแวร์จะอาศัยโปรเซสปกติของระบบอย่าง dllhost.exe ในการรัน .NET 2 Plugin เพื่อซ่อนพฤติกรรม ซุ่มรอเวลาอย่างแนบเนียน และลบร่องรอยการโจมตีทิ้งทั้งหมด

เหตุการณ์นี้เน้นย้ำให้เห็นถึงความท้าทายของการพัฒนาระบบปฏิบัติการใช้เองภายในประเทศ ที่แม้จะช่วยลดการพึ่งพาเทคโนโลยีจากต่างชาติ แต่ก็แลกมาด้วยความรับผิดชอบในการรักษาความมั่นคงปลอดภัยของระบบนิเวศทั้งหมดด้วยตนเอง สำหรับผู้ดูแลระบบและหน่วยงานที่เกี่ยวข้อง ขอแนะนำให้เพิ่มความเข้มงวดในการเฝ้าระวังระบบ โดยเฉพาะการตรวจสอบไฟล์แปลกปลอมในไดเรกทอรี C:\Windows\SoftwareDistribution\Download\ และพฤติกรรมการทำงานที่ผิดปกติของโปรเซส dllhost.exe นอกจากนี้ ควรตรวจสอบความถูกต้องของไฟล์ที่เกี่ยวข้องกับซอฟต์แวร์จัดการปลายทางภายในองค์กร และเฝ้าระวังการเชื่อมต่อเครือข่ายไปยังโดเมนอันตรายที่อาจเป็นเซิร์ฟเวอร์ควบคุม เพื่อลดความเสี่ยงและป้องกันการตกเป็นเหยื่อของการโจมตีในลักษณะนี้ในก้าวต่อไป

แหล่งข่าว : https://thehackernews.com/2026/11/netamloader-malware-targets-government.html

596/69（IT）2026年11月2日，星期一。

卡巴斯基网络安全研究人员披露了一起针对亚洲政府机构的高度复杂的攻击事件。据报道，该攻击利用了一种名为 NetamLoader 的新型恶意软件框架，入侵了专为政府机构定制的 Windows 10 操作系统。初步调查显示，这可能是一起供应链攻击，攻击者可能利用了受信任的外部服务提供商来获取最终用户的访问权限。尽管攻击者的确切身份和数据受损程度尚未得到确认，但此次事件凸显了政府软件基础设施面临的重大风险。

对该恶意软件的作案手法分析揭示了一个两阶段攻击过程。首先，它将一个 CAB 压缩文件隐藏在 Windows 更新下载目录中。在第一阶段，该恶意软件利用 AppDomainManager 注入，执行一个看似合法的文件（例如 PatchMyPC-ScriptRunner.exe），诱使系统处理一个修改过的 PatchMyPC-ScriptRunner.exe.config 文件。然后，系统加载 Microsoft.HostIntegration.Connectors.dll 来读取 fabric.config 中的值，并提取隐藏在 Resources.resx 中的恶意代码，从而进入第二阶段。第二阶段涉及解密一个多层有效载荷。该恶意软件使用 XAML（XAML-2-1）文件来修补并绕过 Windows 恶意软件检测（AMSI），并通过 .NET 1 Loader 传输数据，以准备连接到控制服务器（C2 服务器）的配置。该恶意软件使用一个合法的系统进程 dllhost.exe 来运行 .NET 2 插件，从而隐藏其行为，耐心等待时机，并清除所有攻击痕迹。

此次事件凸显了自主研发操作系统所面临的挑战。虽然自主研发操作系统可以减少对国外技术的依赖，但也意味着需要独立维护整个生态系统的安全。对于系统管理员和相关机构，建议加强系统监控，尤其要检查C:\Windows\SoftwareDistribution\Download\目录下的可疑文件以及dllhost.exe进程的异常行为。此外，还应验证与内部终端管理软件相关的文件的完整性，并监控与可能作为控制服务器的恶意域名的网络连接，以降低风险并防止此类攻击再次发生。

来源：https://thehackernews.com/2026/11/netamloader-malware-targets-government.html