APT駭客利用惡意軟體框架NetamLoader攻擊亞洲政府機關

隨著國際局勢越來越緊張，近期針對政府機關的網路間諜活動也不時傳出，然而現在有一起活動相當特別，攻擊者竟是針對專為政府客製化的Windows 10作業系統而來，這種情況並不常見。

上週資安廠商卡巴斯基揭露最新一波專門針對亞洲政府機關的APT攻擊行動，駭客使用惡意程式載入框架NetamLoader，透過多階段.NET組件載入機制執行惡意程式，並藉由XAML標記語言隱藏及解密後續的惡意酬載。攻擊者首先將惡意CAB封裝檔案放入Windows更新套件目錄，並利用Patch My PC第三方修補管理工具中的特定元件作為載入程序。此CAB檔案內多數執行檔都是合法的Patch My PC元件，甚至用於.NET元件注入的程式也具有微軟的數位簽章，使惡意行為更難從檔案本身特徵辨識。

攻擊鏈第一階段利用.NET的AppDomainManager注入技術，在程式主要功能函式執行前載入惡意元件，再透過精心製作的fabric.config及Resources.resx檔案，觸發.NET BinaryFormatter反序列化，進一步利用TypeConfuseDelegate技術執行嵌入的XAML惡意酬載。駭客也利用SHA-256產生AES金鑰，解密後續XAML程式碼，逐層載入攻擊工具。

第二階段則著重於規避資安防護及維持執行能力。NetamLoader會竄改Windows反惡意軟體掃描介面（AMSI）的記憶體內容及功能函式指標，使掃描結果一律回傳無威脅狀態，藉此繞過惡意程式掃描。此外，攻擊者還會利用RPC建立遠端COM物件，結合TypeConfuseDelegate及不明的二進位物件反序列化漏洞，將XAML-3載入Windows系統程序dllhost.exe，藉此脫離原始程序執行樹，降低遭EDR工具發現的機率。

在完成載入後，NetamLoader會部署第二個.NET組件，蒐集受害系統的.NET Framework及Windows版本資訊，並透過HTTPS與C2伺服器通訊。其網路流量採用AES-128-CBC搭配HMAC-SHA256加密及驗證，並具備系統代理伺服器偵測能力，可透過WinHTTP API、Explorer.exe程序及.NET預設代理設定等方式取得代理伺服器資訊。

值得注意的是，為了增加沙箱分析的難度，NetamLoader啟動後不會立即連線C2伺服器，而是先隨機等待20至40分鐘；若C2伺服器沒有回應，下一次輪詢間隔甚至會延長至22至28小時。攻擊者也會刪除惡意載入過程產生的檔案、Windows Prefetch快取及相關CLR使用記錄，並修改Windows更新記錄，以降低事後鑑識還原攻擊過程的可能性。