Ein Malware-Loader ist Schadsoftware, die sich auf einem Gerät festsetzt und anschließend weitere Malware von Servern der Angreifer herunterlädt und startet – die erste Stufe einer mehrstufigen Infektion.
Wie Malware-Loader funktionieren
Loader gelangen meist über Phishing-Mails, bösartige Werbung oder gefälschte Software-Downloads auf die Systeme. Einmal aktiv, erstellt der Loader einen Fingerabdruck des Systems, kontaktiert seinen Command-and-Control-Server und holt die nächste Stufe – oft nur dann, wenn das Opfer lohnend erscheint, etwa ein Firmenrechner in einer Windows-Domäne. Anders als ein Dropper, der seine Nutzlast mitbringt, belässt ein Loader den Schadcode auf dem Server, sodass ein von Analysten gesichertes Sample wenig verrät. Viele Loader richten zudem Persistenz ein und können sich selbst aktualisieren.
Warum Malware-Loader wichtig sind
Loader bilden die Vertriebsschicht der Cybercrime-Ökonomie. Ihre Betreiber verkaufen „Installationen“ an andere Gruppen, wodurch aus einer Infektion viele werden: Ein einziger Loader kann Infostealer, Banking-Trojaner oder Fernzugriffswerkzeuge ausliefern. Bekannte Beispiele:
- Emotet – begann als Banking-Trojaner und wurde zu einem führenden Loader; Infektionen führten häufig zu TrickBot und dann zur Ransomware Ryuk. Im Januar 2021 wurde Emotet durch eine internationale Polizeiaktion zerschlagen.
- QakBot – 2023 in einer vom FBI geführten Operation zerschlagen, die die Malware von Hunderttausenden Computern entfernte.
- IcedID, SmokeLoader, Bumblebee, Pikabot – Ziele der Operation Endgame (2024), der bislang größten koordinierten Aktion gegen Loader.
Wie man sich vor Loadern schützt
- Makros, Skriptdateien sowie ISO- und LNK-Anhänge aus externen E-Mails blockieren.
- Mit EDR ungewöhnliche Kindprozesse und ausgehende Verbindungen von Office-Anwendungen oder Skript-Hosts erkennen.
- Jede Loader-Erkennung als ernsten Vorfall behandeln: Die nächste Stufe kann bereits Ransomware sein.
- DNS- und Webverkehr filtern, um bekannte bösartige Infrastruktur abzuschneiden.
