Загрузчик вредоносного ПО (malware loader) — вредоносная программа, которая закрепляется на устройстве, а затем скачивает и запускает другие вредоносы с серверов атакующих, выступая первой стадией многоступенчатого заражения.
Как работают загрузчики
Загрузчики обычно попадают на устройства через фишинговые письма, вредоносную рекламу или поддельные установщики программ. После запуска загрузчик собирает сведения о системе, связывается со своим командным сервером и получает следующую стадию — часто лишь в том случае, если жертва выглядит ценной, например это корпоративный компьютер в домене. В отличие от дроппера, который несёт нагрузку внутри, загрузчик хранит вредоносный код на сервере, поэтому пойманный аналитиками образец мало что раскрывает. Многие загрузчики также закрепляются в системе и умеют обновлять себя.
Почему загрузчики важны
Загрузчики — это слой дистрибуции в экономике киберпреступности. Их операторы продают «установки» другим группировкам, превращая одно заражение во множество: один загрузчик может доставить инфостилеры, банковские трояны или средства удалённого доступа. Известные примеры:
- Emotet — начинал как банковский троян и стал одним из ведущих загрузчиков; заражение часто вело к TrickBot, а затем к шифровальщику Ryuk. Ботнет был ликвидирован операцией правоохранительных органов в январе 2021 года.
- QakBot — уничтожен в 2023 году операцией под руководством ФБР, которая удалила его с сотен тысяч компьютеров.
- IcedID, SmokeLoader, Bumblebee, Pikabot — стали целями операции Endgame (2024), крупнейшей на тот момент скоординированной акции против загрузчиков.
Как защититься от загрузчиков
- Блокировать макросы, файлы скриптов, вложения ISO и LNK во внешней почте.
- Использовать EDR для обнаружения необычных дочерних процессов и исходящих соединений от Office и интерпретаторов скриптов.
- Считать любое обнаружение загрузчика серьёзным инцидентом: следующей стадией уже может быть шифровальщик.
- Фильтровать DNS и веб-трафик, чтобы отрезать известную вредоносную инфраструктуру.
