Kaspersky entdeckte die Schadsoftware in der ersten Hälfte des Jahres 2026 auf einem einzigen Rechner. Die Analyse deutet darauf hin, dass der Angriff auf eine spezialisierte Windows-10-Variante zugeschnitten war, die ausschließlich von Regierungsorganisationen in Asien eingesetzt wird. Das betroffene Land und die betroffene Behörde nannte das Unternehmen nicht; wie viele Systeme betroffen sein könnten, ist unklar. Eine Zuordnung zu einer bekannten staatlich unterstützten Gruppe war nach Angaben von Kaspersky nicht möglich.
Die Forscher vermuten hinter der Operation einen Supply-Chain-Angriff, bei dem Angreifer vertrauenswürdige Software oder deren Verteilungsweg kompromittieren, um an ihre eigentlichen Ziele zu gelangen. Gefunden wurde die Schadsoftware in einem Paket, das in einem Verzeichnis für Windows-Betriebssystemaktualisierungen abgelegt war. Das Paket enthielt legitime Softwarekomponenten, darunter Dateien des Drittanbieter-Update-Werkzeugs Patch My PC sowie von Microsoft digital signierte Programme.
Nach der Aktivierung kann NetamLoader den Sicherheitsscan von Windows stören, die eigenen Aktivitäten verbergen sowie Dateien und Systemprotokolle löschen. Zudem sammelt die Schadsoftware Informationen über den infizierten Rechner, lädt weiteren Schadcode nach und kommuniziert über verschlüsselte Verbindungen mit einer von den Angreifern kontrollierten Infrastruktur.
Dass die Schadsoftware Komponenten eines behördenspezifischen Windows-Systems erkennen und manipulieren kann, spricht nach Einschätzung der Forscher für detaillierte Kenntnisse der Angreifer über die Technik ihres Ziels. Der Fall werfe zugleich Fragen zur Sicherheit angepasster Behörden-Betriebssysteme auf. „Der Vorteil ist, dass jedes Land Entwicklung, Betrieb und Aktualisierung seiner eigenen Betriebssysteme kontrolliert und damit volle Autonomie über den gesamten Prozess hat. Andererseits bedeutet es auch, dass jedes Land dieses gesamte riesige Ökosystem allein schützen muss", erklärte Kaspersky.
Bislang ist nur ein infiziertes System bekannt. Ob die Angreifer tatsächlich sensible Informationen entwenden konnten, ließ sich ebenso wenig feststellen wie der Weg, auf dem die Schadsoftware auf den Rechner gelangte, oder die Frage, ob die Update-Infrastruktur selbst kompromittiert wurde.