Un loader de malware es un software malicioso que se instala en un dispositivo y luego descarga y ejecuta otro malware desde servidores de los atacantes, como primera etapa de una infección en varias fases.
Cómo funcionan los loaders de malware
Los loaders suelen llegar mediante correos de phishing, anuncios maliciosos o descargas de software falso. Una vez activo, el loader obtiene la huella del sistema, contacta con su servidor de comando y control y descarga la siguiente etapa, a menudo solo si la víctima parece valiosa, por ejemplo un equipo corporativo unido a un dominio. A diferencia de un dropper, que lleva la carga dentro, el loader mantiene el código malicioso en el servidor, de modo que una muestra capturada por los analistas revela poco. Muchos loaders también establecen persistencia y pueden actualizarse solos.
Por qué importan los loaders
Los loaders son la capa de distribución de la economía del cibercrimen. Sus operadores venden «instalaciones» a otros grupos, de modo que una infección se convierte en muchas: un solo loader puede entregar infostealers, troyanos bancarios o herramientas de acceso remoto. Ejemplos conocidos:
- Emotet: nació como troyano bancario y se convirtió en un loader líder; sus infecciones solían llevar a TrickBot y después al ransomware Ryuk. Fue desarticulado en una operación policial internacional en enero de 2021.
- QakBot: desmantelado en 2023 por una operación dirigida por el FBI que lo eliminó de cientos de miles de equipos.
- IcedID, SmokeLoader, Bumblebee y Pikabot: objetivos de la Operación Endgame (2024), la mayor acción coordinada contra loaders hasta la fecha.
Cómo protegerse de los loaders
- Bloquear macros, archivos de script y adjuntos ISO y LNK procedentes de correo externo.
- Usar EDR para detectar procesos hijo y conexiones salientes inusuales desde Office o intérpretes de scripts.
- Tratar cualquier detección de un loader como un incidente grave: la siguiente etapa puede ser ya ransomware.
- Filtrar el tráfico DNS y web para cortar el acceso a infraestructura maliciosa conocida.
