ZONE.CI 全球网

本文拆解Kaspersky发现的NetamLoader恶意软件加载链，攻击者利用Windows更新目录与PatchMyPC合法组件，通过六跳加载链实现恶意代码执行，包括AppDomainManager注入、BinaryFormatter反序列化、XAML执行及AMSI绕过，最终迁移至dllhost.exe进程。文章详述各跳机制与清理痕迹手法，指出入口在更新系统，防守应关注配置读取行为而非恶意PE。