NetamLoader：正規署名ファイルに潜み、あの手この手で検知をすり抜ける狡猾な手口

NetamLoaderは、アジア地域の特定政府機関向けにカスタマイズされたWindows 10環境を標的として発見された、極めて高度な多段型ローダーマルウェアです。
Kaspersky Security Network（KSN）のテレメトリにより2026年上半期に1台のマシン上で検知されました。
正規のソフトウェアコンポーネント（Patch My PCやMicrosoft署名済みDLL）をそのまま悪用し、正規アップデートパッケージ（CABアーカイブ）の形で展開されることから、カスタムOSや更新配布経路を狙ったサプライチェーン侵害が強く疑われています。
現時点で帰属先となる攻撃グループ（APT）や侵入経路は特定されていません。
特徴的な部分をみてみましょう。

• 正規署名ファイル群の中に1つだけ潜む不正ペイロード
  CABアーカイブ内に含まれる全7ファイルのうち、実行ファイルやライブラリを含む6ファイルはMicrosoftの電子署名済み、または正規のパッチ管理ツール「Patch My PC」の正当なファイルで構成されています。
  悪意あるコードが含まれているのは設定・リソースデータに偽装した Resources.resx（全体の約3.4%）のみであり、実行ファイルのデジタル署名やベンダーの信頼性に依存した一般的なマルウェア検査を容易にすり抜ける設計となっています。
• AppDomainManager Injectionによるプロセス乗っ取り（T1574.014）
  実行プロセスである PatchMyPC-ScriptRunner.exe の起動時、同一ディレクトリに配置された不正な .config ファイルを読み込ませる「AppDomainManager Injection」手法を採用しています。
  これにより、メイン処理が開始される前にMicrosoft署名済みの Microsoft.HostIntegration.Connectors.dll が読み込まれ、同DLLの仕様上の挙動（fabric.config のロード）を悪用して任意のコード実行へと誘導します。
• コマンドライン引数を暗号鍵とするサンドボックス回避
  第1段階のペイロード（XAML-1）は、ホストプロセスの完全なコマンドライン引数をSHA-256でハッシュ化し、次段階（XAML-2）を復号するためのAES鍵として使用します。
  正規の更新プロセスと同じ特定の引数が渡されない限り復号に失敗し、エラーを出さずにサイレント終了（プロセス終了）するため、引数なしで単体実行・再試行を行う自動サンドボックス解析環境では不正な挙動が一切観測されません。
• AMSI無力化と多層的な痕跡消去
  第2段階のXAMLペイロードは、メモリ上でWindowsのマルウェアスキャン機能「AMSI（Antimalware Scan Interface）」の主要関数にパッチを当て、プロセス内の以降のスキャン結果をすべて正常（検知なし）に偽装します。
  同時に、以下の痕跡消去を即座に実行します。
  • 展開元となったファイル群の削除
  • .NET CLRログおよびPrefetch（プリフェッチ）キャッシュの削除
  • レジストリに記録された例外ログの削除
  • CmitUpdateAgent（カスタムWindowsビルドに関連するとみられるログディレクトリ）内の更新ログ改ざん
• RPC/COMを用いたプロセスの切り離しとEDR回避
  痕跡を消去した後、環境変数 COMPlus_ETWEnabled を0に設定して.NETのイベントトレース（ETW）を無効化します。
  さらにRPC経由でCOMオブジェクトを呼び出し、正規のシステムプロセス dllhost.exe の内部に最終ペイロードをロードします。
  これにより、初期の感染プロセスから実行コンテキストが完全に切り離され、プロセスの親子関係を監視するEDR製品の検知網を回避します。
• 極端な長時間待機（超低頻度ポーリング）によるC2通信の隠蔽
  C2（コマンド＆コントロール）サーバとの通信にはHTTPSおよびAES-128-CBC暗号化（HMAC付き）が用いられ、極端に長い待機時間が設定されています。
  • 初回通信前の待機時間：20〜40分
  • 応答がない場合の再試行間隔：22〜28時間
  • 通信途絶時のウォッチドッグによる自動終了：約28時間
    短時間の監視や一般的な通信頻度の異常検知では捕捉できないステルス設計となっています。

NetamLoaderは、脆弱性の悪用（Exploit）よりも「正規機能・署名済みツールの連鎖的悪用（Living off the Land）」「巧妙な環境依存の暗号化」「厳格なアンチフォレンジック・解析妨害」に極限まで注力された標的型マルウェアです。
防御上考える場合、単純なファイルハッシュやコード署名の検証、短時間の動的サンドボックス解析では検知が困難です。
次のような対策が考えられます。

• .config ファイルの変更監視および予期しない.NET AppDomainManagerの読み込み検知（MITRE ATT&CK T1574.014対策）
• システム更新ディレクトリ（SoftwareDistribution\Download 等）への不審なCABファイル配置や非標準アップデートプロセスの監視
• AMSIパッチやETW無効化（COMPlus_ETWEnabled 等）を捉えるメモリ・振る舞い検知の強化

正規ファイルの中にたった一つだけ毒を混ぜ、サンドボックスすら欺く――まさにあの手この手で検知をすり抜けて迫ってくるため、従来の境界防御や単純な署名チェックを過信しない備えが求められます。

Kaspersky says NetamLoader malware targets a government only Windows 10 in Asia; how it arrived is unknown
https://www.pk-sharma.com/briefing/kaspersky-netamloader-customised-windows-10-asian-government-supply-chain-what-the-report-says