loader

Loader to moduł złośliwego oprogramowania (malware), który po zdobyciu przyczółka pobiera i uruchamia kolejne etapy ataku. MITRE ATT&CK opisuje samo sprowadzanie narzędzi jako przenoszenie plików z systemu kontrolowanego przez przeciwnika do przejętego środowiska, przez kanał dowodzenia albo inny protokół ^[1]. Loader często uruchamia pobrany kod wprost w pamięci procesu, bez zapisu na dysku ^[2]. Sam zwykle niewiele niszczy; jego wartością dla przestępców jest dostęp, który sprzedają albo wykorzystują dalej ^[5].

Jak działa

Typowy loader ma trzy zadania: przetrwać w systemie, połączyć się z serwerem C2 i wykonać polecenia pobrania. CERT Polska opisał Smoke Loadera jako względnie mały, modułowy bot używany do instalowania różnych rodzin złośliwego oprogramowania ^[3]. Bot pyta serwer o listę wtyczek i liczbę zadań, a potem po kolei pobiera każde z nich żądaniami POST, szyfrowanymi RC4 ^[3]. Pliki leżą czasem na innych serwerach, a ich adresy przychodzą w nagłówku HTTP Location ^[3].

RYS. 1Łańcuch z loaderem

Uruchomienie w pamięci MITRE nazywa refleksyjnym ładowaniem kodu. Polega ono na przydzieleniu pamięci i wykonaniu ładunku wewnątrz procesu, zamiast tworzenia procesu opartego na pliku na dysku ^[2]. Ładunkiem mogą być skompilowane pliki, pliki istniejące tylko w RAM albo shellcode ^[2]. Jako przykład MITRE podaje metodę Assembly.Load() w PowerShellu, którą można nadużyć do załadowania surowego kodu do działającego procesu ^[2]. Stąd bliski związek loaderów ze złośliwym oprogramowaniem bezplikowym.

Loadery bronią się przed analizą. Smoke Loader sprawdzał obecność debugera i maszyn wirtualnych, szyfrował sekcje kodu i ciągi znaków ^[3]. Sam loader bywa opakowany: główny plik Ramnita był spakowany jak matrioszka, najpierw autorskim packerem, potem UPX ^[4]. Program ładujący Ramnita próbował też podnieść uprawnienia przez znane podatności CVE-2013-3660 i CVE-2014-4113, a potem wstrzykiwał kod do procesów svchost.exe ^[4]. To typowy zestaw: eskalacja uprawnień, ukrycie w legalnym procesie (process injection) i dopiero wtedy właściwa praca.

Loader a dropper

Oba pojęcia opisują pierwszy etap infekcji i w praktyce bywają używane zamiennie. Europol w komunikacie o operacji Endgame nazywa całą grupę dropperami i definiuje je jako oprogramowanie instalujące inne złośliwe oprogramowanie w systemie docelowym ^[5]. Różnicę widać w tym, skąd pochodzi dalszy kod.

Model biznesowy jest wspólny. Europol opisuje takie narzędzia jako usługę, z której inni przestępcy korzystają do pierwszej infekcji, a potem instalują ransomware albo wykorzystują dane ^[7]. To odmiana malware-as-a-service (MaaS).

W WordPressie

Strony WordPress najczęściej nie są celem loadera, tylko jego punktem dystrybucji. MITRE opisuje SocGholish, znany też jako FakeUpdates, jako loader w JavaScripcie używany co najmniej od 2017 roku ^[6]. Rozprzestrzenia się przez drive-by download z przejętych stron, które udają aktualizację przeglądarki, i pobiera dalsze ładunki: RAT-y i ransomware ^[6].

Europol 24 czerwca 2026 roku podał, że ten sposób działania opiera się głównie na włamaniach do stron zbudowanych na WordPressie i infekowaniu ich złośliwym kodem ^[7]. W ramach akcji oczyszczono 14 971 zainfekowanych stron, w tym restauracji i warsztatów samochodowych ^[7]. Europol zaapelował do użytkowników WordPressa, by zmienili dane logowania, włączyli uwierzytelnianie wieloskładnikowe, usunęli nieznane konta i aktualizowali stronę ^[7].

Dla właściciela strony loader jest więc objawem cudzego ataku, prowadzonego jego zasobami. Wstrzyknięty skrypt działa w przeglądarkach odwiedzających, a strona może trafić na czarną listę.

Jak się bronić

• Na stronie: aktualizacje rdzenia, wtyczek i motywów, monitorowanie integralności plików oraz przegląd kont administratorów ^[7].
• Na stacjach roboczych: nie instalować „aktualizacji przeglądarki” proponowanych przez stronę WWW ^[6].
• W sieci: śledzić połączenia wychodzące i pobrania narzędzi przez PowerShell, certutil, curl czy wget, które MITRE wymienia przy sprowadzaniu narzędzi ^[1].
• Kod wykonywany tylko w pamięci nie zostawia pliku na dysku ^[2], więc na stacjach potrzebna jest obserwacja zachowania procesów, na przykład przez EDR (Endpoint Detection and Response).

Historia i przykłady

Smoke Loader pojawił się w czerwcu 2011 roku, gdy ogłoszono go na rosyjskojęzycznych forach; sprzedawano go wyłącznie osobom posługującym się językiem rosyjskim ^[3]. Między 27 a 29 maja 2024 roku operacja Endgame objęła IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee i Trickbot; zatrzymano 4 osoby i wyłączono lub zakłócono ponad 100 serwerów ^[5]. Europol opisał Smokeloadera jako program używany głównie do pobierania dodatkowego złośliwego oprogramowania, a Bumblebee jako narzędzie rozprowadzane przez phishing lub przejęte strony ^[5]. IcedID, znany też jako BokBot, zaczynał jako trojan bankowy, a później rozwinięto go do obsługi innych przestępstw ^[5]. Pikabot służył do zdobywania początkowego dostępu, który otwierał drogę do wdrożenia ransomware ^[5].

W czerwcu 2026 roku kolejna faza operacji objęła SocGholish, Amadey i StealC; organy ścigania i partnerzy prywatni podjęli działania wobec 326 serwerów i 142 domen ^[7]. Europol powiązał SocGholish z rosyjską grupą Evil Corp ^[7]. MITRE przypisuje obsługę SocGholish grupie Mustard Tempest i odnotowuje, że Indrik Spider kupował dostęp do niego, by pobierać dalsze ładunki ^[6].