Обзор и происхождение
CloudEyE — это семейство вредоносных загрузчиков для Windows, тесно связанное с упаковщиком/криптером, известным по связи с GuLoader (также встречается написание Parallax). В экосистеме угроз CloudEyE часто фигурирует как имя самого протектора, под которым распространяются билды GuLoader: загрузчик написан на Visual Basic и служит «обёрткой», задача которой — расшифровать и запустить в памяти вторичную нагрузку, не сохраняя её на диск. Malpedia содержит страницу семейства в Windows-разделе, а ThreatFox публикует актуальные IOC, что подтверждает продолжающуюся активность.
Основная цель семейства — не собственно вредоносная функциональность, а доставка: CloudEyE/GuLoader выступает первым звеном цепочки заражения и типично разворачивает стилеры (Agent Tesla, RedLine и подобные), RAT'ы (Remcos, NanoCore, AsyncRAT) и другие загрузчики. Жертвы — пользовательские и корпоративные рабочие станции Windows; для организаций опасность определяется именно вторичной нагрузкой: кража учётных данных и cookie-сессий даёт злоумышленнику обход MFA и точку входа для дальнейшего перемещения по сети.
Исторически кампании с этим протектором наблюдаются с конца 2010-х годов и продолжаются до настоящего времени; семейство регулярно обновляется для противодействия песочницам и статическому анализу, поэтому детектирование по побайтовым сигнатурам нестабильно и требует семейного подхода.
Функциональные модули
- Загрузчик/дроппер. Исполняемый файл-носитель (часто замаскированный под документ, счёт или утилиту) содержит зашифрованную нагрузку и минимальную логику её извлечения.
- Распаковщик в памяти. Ключевой модуль: расшифровка полезной нагрузки и её исполнение через отражающую загрузку/запуск в памяти, без записи PE-файла на диск — это осложняет обнаружение файловым антивирусом и сбор артефактов.
- Антианализ. Известные билды GuLoader/CloudEyE активно используют проверки среды: отладчики, виртуальные машины, инструменты анализа, счётчики времени; при обнаружении признаков песочницы исполнение прерывается.
- Резервные механизмы доставки нагрузки. Помимо встроенной зашифрованной нагрузки, загрузчик может обращаться к удалённому серверу за вторым этапом, что позволяет операторам менять нагрузку без пересборки дроппера.
- Постэксплуатационная связка. Сам CloudEyE закрепление обычно не выполняет — закрепление и кражу данных осуществляет вторичная нагрузка, которую он доставляет.
Техники и API
С точки зрения защиты характерны следующие техники, наблюдавшиеся в семействе и его билдах:
- запуск нагрузки в памяти: создание процесса-хоста (часто самого себя или легитимного процесса) с последующей записью расшифрованного PE и передачей управления — задействуются CreateProcessW/WriteProcessMemory/ResumeThread либо ручная загрузка образов;
- шифрование нагрузки (в билдах GuLoader описывалось применение симметричных алгоритмов, включая AES-подобные схемы с ключами в теле файла);
- антиотладка и анти-ВМ: проверки через IsDebuggerPresent, контрольные сравнения времени, сканирование окон и процессов на инструменты анализа;
- маскировка под документы: иконки и имена файлов, имитирующие PDF/DOCX, двойные расширения;
- для мониторинга значимы аномальные цепочки «office/пользовательский процесс → regsvr32/rundll32/wscript или собственный процесс с записью в память», а также обращения к резидентным API-последовательностям VirtualAlloc/VirtualProtect с последующим изменением прав на RWX.
IOC и индикаторы
ThreatFox на текущую дату содержит 3 свежие IOC-записи для CloudEyE: типы — md5_hash, sha1_hash и sha256_hash, категория активности — payload (индикаторы идентифицируют образцы вредоносной нагрузки). Значения хешей в тексте не публикуются; карточки образцов с хешами предоставлены ниже в скрытом разделе рендерером. Дополнительные индикаторы: исполняемые файлы, маскирующиеся под документы, необычно большие VB-исполняемые файлы с высоким уровнем энтропии в секциях/оверлее, а также сетевые обращения загрузчика к серверам раздачи второго этапа.
Обнаружение
- Поведенческое (EDR): цепочка «вектор доставки → процесс-носитель → запись в память чужого/собственного процесса → исполнение без файла на диске»; создание RWX-регионов; процессы VB-происхождения, выполняющие сетевые запросы.
- Файловое: высокая энтропия оверлея, аномальное соотношение размера и функциональности, упаковочные сигнатуры, характерные для GuLoader/CloudEyE секции.
- Сетевое: запросы загрузчика к редко встречающимся хостам сразу после запуска пользовательского файла; TLS-соединения с нестандартными отпечатками.
- YARA: семейные правила на характерные строки/структуры VB-компилята и шаблоны расшифровщиков GuLoader; побайтовые сигнатуры быстро устаревают из-за частых пересборок.
- Память: сканирование на бесфайловые PE-образцы в пользовательских процессах.
Защита и снижение риска
- Блокировать исполнение вложений из почты и архивов через Application Control (WDAC/AppLocker), ограничивая запуск из пользовательских каталогов и временных папок.
- Запретить или ужесточить использование regsvr32, rundll32, wscript/cscript для неподписанных файлов.
- Отметить как подозрительные макросы и вложения, маскирующиеся под финансовые документы; включить блокировку внешнего содержимого Office.
- EDR-политики на обнаружение инъекций и бесфайлового исполнения; включить блокировку создания процессов из Office-приложений.
- Сегментация рабочих станций и ограничение исходящих соединений с конечных точек; фильтрация DNS.
- MFA с защитой от перехвата сессий (фишинг-устойчивые методы), поскольку типичная вторичная нагрузка крадёт cookie и токены.
Что делать при подозрении на заражение
- Изолировать хост от сети, сохранив питание и состояние памяти для анализа.
- Сохранить телеметрию EDR: процессы, сетевые соединения, события создания потоков и записи в память.
- Искать вторичные компоненты: удалённую нагрузку, дропнутые файлы, задачи планировщика, autostart-записи — сам загрузчик может быть лишь первым звеном.
- Определить, какая нагрузка исполнялась (стилер, RAT): проверить браузерные профили, учётные данные, активные сессии.
- Ротировать скомпрометированные пароли и отозвать/переиздать сессии и токены, включая учётные записи с доступом к корпоративным ресурсам.
- Провести поиск по IOC (хеши, сетевые индикаторы) по всей среде для выявления других заражённых хостов.
- Переустановить систему, если целостность ОС не может быть подтверждена; удаление одного загрузчика инцидент не закрывает.
Ограничения текущего анализа
Доступные источники (ThreatFox, Malpedia) подтверждают актуальность семейства и предоставляют хеш-индикаторы образцов нагрузки, но не содержат детального разбора конкретных билдов: точные версии алгоритма расшифровки, используемые C2-адреса, конкретные вторичные семейства в текущих кампаниях и наличие закрепления требуют статического и динамического анализа образцов. Часть описанных техник основана на исторических публикациях о GuLoader/CloudEyE и может отличаться в свежих сборках из-за активной разработки протектора.
Источники
История обновлений статьи
- 10.10.2026 — Опубликована первая версия материала.
