NetamLoader Serang Windows 10 Khusus Instansi Pemerintah

Peneliti keamanan siber menemukan malware baru bernama NetamLoader yang menargetkan sistem operasi Windows 10 versi khusus untuk instansi pemerintah di Asia. Malware ini menggunakan teknik injeksi .NET untuk menjalankan kode berbahaya melalui aplikasi resmi, sehingga aktivitasnya lebih sulit terdeteksi. Kaspersky menduga serangan tersebut berkaitan dengan supply chain attack.

Serangan siber yang menargetkan infrastruktur pemerintahan kembali terungkap. Kali ini, pelaku memanfaatkan malware yang belum pernah terdokumentasi sebelumnya untuk menyusup ke sistem operasi Windows 10 yang digunakan secara khusus oleh sejumlah instansi pemerintah di kawasan Asia.

Temuan tersebut diungkap perusahaan keamanan siber Kaspersky pada November 2026. Dalam laporannya, peneliti mengidentifikasi malware bernama NetamLoader, sebuah kerangka kerja pemuatan komponen .NET yang dirancang untuk menjalankan berbagai payload berbahaya secara bertahap.

Serangan ini menarik perhatian karena tidak hanya memanfaatkan teknik injeksi kode yang kompleks, tetapi juga diduga melibatkan serangan rantai pasok. Metode tersebut memungkinkan penyerang memanfaatkan perangkat lunak atau penyedia layanan yang tepercaya sebagai pintu masuk untuk menjangkau sistem target.

Hingga kini, Kaspersky belum mengaitkan aktivitas tersebut dengan kelompok peretas atau aktor ancaman siber tertentu. Belum diketahui pula apakah serangan berhasil menjangkau lebih dari satu perangkat maupun menyebabkan pencurian informasi sensitif.

Menurut Kaspersky, sampel NetamLoader pertama kali terdeteksi pada paruh pertama 2026. Malware ditemukan dalam sebuah arsip Windows Cabinet (CAB) yang ditempatkan di direktori penyimpanan paket pembaruan sistem operasi Windows.

Lokasi tersebut menjadi salah satu hal yang perlu diperhatikan karena direktori SoftwareDistribution merupakan bagian dari mekanisme pembaruan Windows. Penempatan berkas di lokasi yang berkaitan dengan aktivitas sistem operasi dapat membantu menyamarkan keberadaan komponen berbahaya.

Kaspersky menduga serangan ini menggunakan metode supply chain attack. Dalam skenario tersebut, penyerang terlebih dahulu menyusupi vendor atau penyedia perangkat lunak pihak ketiga yang dipercaya organisasi target. Setelah berhasil mendapatkan akses, pelaku dapat memanfaatkan hubungan kepercayaan tersebut untuk menjangkau pengguna layanan atau perangkat lunak yang bersangkutan.

Manfaatkan Injeksi .NET untuk Menyamarkan Malware

Salah satu teknik utama yang digunakan NetamLoader adalah AppDomainManager Injection. Teknik ini memanfaatkan mekanisme AppDomainManager pada .NET Framework untuk memuat komponen .NET secara tidak sah ketika sebuah aplikasi dijalankan.

Secara sederhana, penyerang membajak proses inisialisasi domain aplikasi agar kode berbahaya dapat dieksekusi melalui proses aplikasi yang sah. Pendekatan ini memiliki kemiripan dengan teknik DLL sideloading, yaitu menyalahgunakan aplikasi resmi untuk menjalankan pustaka atau kode berbahaya.

Dengan memanfaatkan proses aplikasi yang tepercaya, malware berpeluang menyamarkan aktivitasnya dari pemantauan keamanan. Hal ini membuat proses identifikasi dan penanganan serangan menjadi lebih menantang, terutama jika organisasi hanya mengandalkan pemeriksaan terhadap nama aplikasi atau berkas yang dijalankan.

Dalam kasus ini, arsip CAB yang ditemukan Kaspersky berada di direktori  C:\Windows\SoftwareDistribution\Download\e4537a1762fcafd2fd96bfc825bad34f9db9a24. Selanjutnya, isi arsip diekstrak ke direktori C:\Windows\SoftwareDistribution\Download\Install\.

Peneliti menemukan tujuh berkas di dalam arsip tersebut, yakni

• fabric.config
• Microsoft.HostIntegration.Connectors.dll
• PatchMyPC-Enum.dll
• PatchMyPC-Models.dll
• PatchMyPC-ScriptRunner.exe
• PatchMyPC-ScriptRunner.exe.config
• Resources.resx.

Empat di antaranya merupakan komponen resmi dari Patch My PC, perangkat lunak yang digunakan untuk mengelola aplikasi dan perangkat endpoint. Kaspersky menjelaskan bahwa sebagian besar berkas tersebut tidak mengandung kode berbahaya. Pengecualian terdapat pada Resources.resx yang menyimpan berbagai payload berbahaya.

Menariknya, keberadaan komponen perangkat lunak yang sah menjadi bagian penting dalam rangkaian serangan. Penyerang memanfaatkan kombinasi berkas tersebut untuk menjalankan malware tanpa harus selalu menggunakan aplikasi atau program yang secara langsung terlihat mencurigakan.

Rantai Infeksi NetamLoader Berlangsung dalam Beberapa Tahap

Kaspersky mengungkap bahwa proses infeksi NetamLoader melibatkan sejumlah komponen yang bekerja secara berurutan. Rantai serangan dimulai ketika PatchMyPC-ScriptRunner.exe dijalankan.

Berkas tersebut menjadi titik awal untuk memuat komponen berikutnya. Melalui teknik AppDomainManager Injection, malware membaca konfigurasi dari PatchMyPC-ScriptRunner.exe.config, kemudian memicu eksekusi Microsoft.HostIntegration.Connectors.dll.

Setelah aktif, komponen tersebut mencari berkas fabric.config di direktori yang sama. Informasi di dalamnya digunakan untuk memuat Resources.resx, yang menyimpan beberapa lapisan payload dalam format XAML, .NET, dan JSON.

Payload tersebut sebelumnya telah melalui proses pengodean, kompresi, atau enkripsi. Tujuannya adalah menyusun rangkaian komponen agar dapat dijalankan secara bertahap.

Pada tahap awal, XAML-1 bertindak sebagai pemuat untuk menjalankan XAML-2. Komponen berikutnya kemudian memuat dua berkas tambahan bernama XAML-2-1 dan XAML-2-2. Salah satu berkas tersebut dirancang untuk melewati Antimalware Scan Interface (AMSI), mekanisme keamanan Windows yang membantu aplikasi keamanan memeriksa konten berbahaya.

Selanjutnya, XAML-2-2 memuat dua komponen penting, yakni .NET 1 Loader dan JSON-1. Komponen JSON menyimpan konfigurasi komunikasi dengan server command-and-control (C2), sekaligus data yang dibutuhkan untuk membangun payload tahap berikutnya.

.NET 1 Loader kemudian bertugas mendekripsi, menyusun, dan memuat XAML-3. Komponen ini juga melaporkan status infeksi kepada server C2. Setelah proses tersebut berlangsung, malware menghapus sejumlah berkas yang sebelumnya diekstrak dari arsip CAB, termasuk log penggunaan CLR dan cache Prefetch Windows.

Penghapusan tersebut diduga bertujuan mengurangi jejak aktivitas malware sehingga proses investigasi menjadi lebih sulit.

Pada tahap berikutnya, XAML-3 berjalan di dalam proses dllhost.exe dan bertugas memuat .NET 2 Plugin. Komponen inilah yang menjalankan fungsi lebih lanjut, termasuk mengumpulkan informasi sistem dari Windows Registry dan memeriksa proses host yang sedang digunakan.

Malware Terhubung ke Server Kendali Peretas

Setelah berhasil dimuat, NetamLoader tidak langsung berkomunikasi dengan server kendali. Malware terlebih dahulu menunggu selama 20 hingga 40 menit secara acak sebelum mengirimkan permintaan pertamanya ke server C2 yang beralamat openaigpt4v[.]com.

Penundaan ini menjadi bagian dari mekanisme operasional malware. Dengan tidak langsung melakukan komunikasi setelah infeksi, aktivitasnya berpotensi lebih sulit dikenali melalui pemantauan jaringan yang mengandalkan pola waktu tertentu.

Setelah komunikasi terbentuk, malware menjalankan mekanisme pemeriksaan berkala atau polling loop. Melalui mekanisme tersebut, NetamLoader mengambil berkas XAML dari server C2 untuk kemudian dieksekusi dalam lingkungan AppDomain yang terisolasi.

Kaspersky menjelaskan, interval komunikasi malware bergantung pada respons yang diterima dari server kendali.

Jika server memberikan respons yang valid, malware akan menunda permintaan berikutnya selama lima hingga enam menit. Sebaliknya, jika tidak menerima respons yang valid, malware dapat menunggu selama 22 hingga 28 jam. Selama periode tersebut, pemeriksaan tetap dilakukan setiap 10 menit untuk memastikan apakah waktu tunggu telah berakhir.

Pola komunikasi ini menunjukkan bahwa NetamLoader dirancang untuk mempertahankan akses ke sistem korban dalam jangka waktu tertentu, sekaligus mengatur frekuensi komunikasi agar tidak terus-menerus menghasilkan lalu lintas jaringan yang mencurigakan.

China Diduga Menjadi Negara Target

Berdasarkan data telemetri yang dikumpulkan Kaspersky, sejauh ini hanya ditemukan satu korban NetamLoader di kawasan Asia. Peneliti juga memastikan bahwa malware tersebut dirancang untuk menyerang sistem Windows 10 versi khusus yang dikustomisasi bagi instansi pemerintah.

Meski tidak mengungkap negara yang menjadi target, sejumlah indikasi mengarah pada China. Salah satu petunjuknya adalah keberadaan Windows 10 China Government Edition, sistem operasi khusus dari Microsoft yang dirancang untuk digunakan pemerintah China dan perusahaan milik negara.

Dugaan tersebut juga muncul di tengah upaya China mengurangi ketergantungan terhadap teknologi asing. Pada Agustus 2026, Bloomberg melaporkan bahwa Kementerian Keamanan Negara China telah menginstruksikan sejumlah lembaga pemerintah untuk menghentikan penggunaan Government Edition dan beralih ke distribusi Linux buatan dalam negeri.

Laporan tersebut menyebut kekhawatiran terhadap keamanan data sebagai salah satu alasan di balik kebijakan tersebut. Namun, tidak ada rincian lebih lanjut mengenai lembaga yang terdampak maupun proses penerapannya.

Kaspersky menilai, situasi geopolitik global mendorong semakin banyak negara membangun platform perangkat lunak inti secara mandiri. Pengembangan tersebut mencakup sistem operasi, basis data, middleware, hingga layanan cloud.

Sistem operasi menjadi salah satu prioritas karena berfungsi sebagai fondasi bagi berbagai layanan dan infrastruktur digital. Dengan mengembangkan sistem sendiri, negara memiliki kendali lebih besar terhadap proses pengembangan, pengoperasian, serta pembaruan teknologi yang digunakan.

Namun, kemandirian teknologi juga membawa tanggung jawab besar dalam menjaga keamanan seluruh ekosistemnya. Negara tidak hanya perlu memastikan sistem operasi berjalan dengan baik, tetapi juga harus melindungi berbagai komponen, aplikasi, dan layanan yang terhubung di dalamnya.

Kaspersky mengingatkan bahwa membangun kemampuan pengoperasian dan pemeliharaan ekosistem teknologi yang matang bukanlah pekerjaan singkat. Dibutuhkan proses panjang untuk memastikan seluruh infrastruktur dapat dikelola dan dilindungi secara optimal.

Kasus NetamLoader memperlihatkan bahwa sistem operasi yang dikembangkan khusus untuk kebutuhan pemerintah sekalipun tidak sepenuhnya terbebas dari ancaman siber. Terlebih, serangan rantai pasok memungkinkan penyerang memanfaatkan perangkat lunak resmi dan hubungan kepercayaan dengan vendor untuk menembus sistem yang menjadi target.

Temuan ini sekaligus menegaskan pentingnya pengawasan keamanan tidak hanya terhadap sistem operasi, tetapi juga seluruh aplikasi, komponen perangkat lunak, dan pihak ketiga yang memiliki akses ke lingkungan teknologi organisasi.