Завантажувач шкідливого ПЗ (malware loader) — шкідлива програма, яка закріплюється на пристрої, а потім завантажує й запускає інше шкідливе ПЗ із серверів зловмисників, виконуючи роль першої стадії багатоетапного зараження.
Як працюють завантажувачі
Завантажувачі зазвичай потрапляють на пристрої через фішингові листи, шкідливу рекламу або підроблені інсталятори програм. Після запуску завантажувач збирає відомості про систему, зв’язується зі своїм командним сервером і отримує наступну стадію — часто лише тоді, коли жертва виглядає цінною, наприклад це корпоративний комп’ютер у домені. На відміну від дропера, який несе навантаження всередині, завантажувач зберігає шкідливий код на сервері, тому перехоплений аналітиками зразок мало що розкриває. Багато завантажувачів також закріплюються в системі й уміють оновлювати себе.
Чому завантажувачі важливі
Завантажувачі — це рівень дистрибуції в економіці кіберзлочинності. Їхні оператори продають «встановлення» іншим угрупованням, перетворюючи одне зараження на безліч: один завантажувач може доставити інфостилери, банківські трояни чи засоби віддаленого доступу. Відомі приклади:
- Emotet — починав як банківський троян і став одним із провідних завантажувачів; зараження часто вело до TrickBot, а далі до програми-вимагача Ryuk. Його інфраструктуру ліквідувала операція правоохоронців у січні 2021 року.
- QakBot — знешкоджений 2023 року операцією під керівництвом ФБР, яка видалила його із сотень тисяч комп’ютерів.
- IcedID, SmokeLoader, Bumblebee, Pikabot — стали цілями операції Endgame (2024), найбільшої на той час скоординованої акції проти завантажувачів.
Як захиститися від завантажувачів
- Блокувати макроси, файли скриптів, вкладення ISO та LNK у зовнішній пошті.
- Використовувати EDR для виявлення незвичних дочірніх процесів і вихідних з’єднань від Office та інтерпретаторів скриптів.
- Вважати будь-яке виявлення завантажувача серйозним інцидентом: наступною стадією вже може бути шифрувальник.
- Фільтрувати DNS і вебтрафік, щоб відрізати відому шкідливу інфраструктуру.
