Исследователи «Лаборатории Касперского» 29 октября раскрыли NetamLoader — вредоносную цепочку, обнаруженную на компьютере со специальной сборкой Windows для госструктур Азии. На первом этапе легитимная программа управления обновлениями Patch My PC и подписанные библиотеки Microsoft запускали скрытую в файлах настроек и ресурсов нагрузку.

Подмена исполняемого файла для этого не требовалась. При запуске программа читала соседнюю конфигурацию, которая направляла подписанные компоненты к подготовленному файлу ресурсов. Его обработка запускала следующий слой, написанный на XAML — языке разметки интерфейсов .NET. В этой цепочке разметка использовалась для выполнения команд. Поэтому проверка происхождения самих библиотек не раскрывала поведение всей связки.

Дальше NetamLoader обходил антивирусную проверку содержимого, переносил выполнение в отдельный системный процесс и удалял связанные журналы и исходные файлы. Загружаемые с управляющего сервера задания выполнялись в отдельной среде .NET, которую затем удаляли из памяти. Это осложняло восстановление цепочки при расследовании.

Образец заметили ещё в первой половине 2026 года; новым стал подробный разбор механизма. В телеметрии исследователи нашли одного пострадавшего в Азии. Архив лежал в папке обновлений Windows, но способ его доставки они не наблюдали: атака через цепочку поставок остаётся их версией. Отчёт не устанавливает взлом инфраструктуры Microsoft или Patch My PC, не называет организатора и не подтверждает масштаб похищенных данных.