Дослідники зафіксували кампанію кібершпигунства, що використовує новий .NET-завантажувач NetamLoader для атаки на кастомну збірку Windows 10, яка застосовується виключно державними структурами в Азії. Шкідливий артефакт було виявлено всередині CAB-архіву в каталозі оновлень операційної системи.

Атака використовує метод AppDomainManager injection для запуску шкідливих збірок всередині легітимних процесів програмного забезпечення Patch My PC. Багатоступеневий ланцюжок розгортає кілька завантажувачів, обходить захист AMSI, очищує логи та встановлює зв’язок з командним сервером openaigpt4v[.]com з тривалими затримками для маскування.