Обзор и происхождение
CountLoader — семейство загрузчика (loader-as-a-service) для Windows, функция которого — закрепление на узле, получение команд с управляющего сервера и доставка вторичной нагрузки. Семейство зафиксировано в каталоге Malpedia (win.count_loader), а свежие образцы и IOC продолжают появляться в MalwareBazaar и ThreatFox, что указывает на текущую, а не историческую активность. По данным открытых исследований, CountLoader распространяется как сервис загрузки: одна инфраструктура может доставлять разные полезные нагрузки — от стилеров (Lumma и аналоги) до Cobalt Strike beacon'ов и кейлоггеров, что типично для аренды загрузчика несколькими группами.
Исторически семейство описывалось исследователями как набор из нескольких реализаций (в том числе на PureBasic, C++ и .NET), распространявшихся через вредоносную рекламу, поддельные страницы установки популярного ПО и фишинговые письма с архивами. Целевая среда — пользовательские и корпоративные рабочие станции Windows; для корпоративного сектора опасность определяется вторичной нагрузкой: кража cookie-сессий и учётных данных позволяет обходить MFA и служит точкой входа для дальнейшего перемещения по сети.
Важно разделять уровни уверенности: подтверждено существование семейства, его класс «загрузчик/ботнет» и наличие актуальных C2-индикаторов; конкретные детали реализации (механизмы закрепления, криптография, точный набор команд) требуют статического и динамического анализа образцов и в открытых источниках описаны неполно.
Функциональные модули
- Модуль доставки нагрузки. Основная функция: запрос задач с C2 и загрузка исполняемых модулей или shellcode последующей полезной нагрузки (стилеры, кейлоггеры, beacon'ы пост-эксплуатационных фреймворков).
- Канал управления (botnet-компонент). Периодический обмен с C2-сервером по HTTP(S); в ThreatFox соответствующие домены помечены категорией botnet_cc, то есть используются как командные серверы ботнета.
- Исполнение вторичного кода. Запуск полученной нагрузки в памяти или на диске; по классу семейства вероятно применение инъекции в процессы и безфайловых техник, однако это требует подтверждения анализом конкретных образцов.
- Первичная доставка (инфраструктура атакующего). Фишинговые письма с вложениями-архивами, поддельные установщики, вредоносная реклама и «крякнутые» программы — типичные пути попадания, описанные для этого и родственных загрузчиков.
Техники и API
Подтверждённый на уровне семейства минимум: сетевое взаимодействие с C2 по HTTP/HTTPS и запуск стороннего кода. Из открытых описаний класса и родственных реализаций типичны, но требуют проверки на конкретных образцах: инъекция в легитимные процессы (VirtualAllocEx / WriteProcessMemory / CreateRemoteThread или колбэки), резолв API во время выполнения, декодирование конфигурации (в ряде случаев AES/XOR), закрепление через Run-ключи реестра или задачи планировщика. Точный список API и механизмов закрепления для CountLoader в доступных источниках не зафиксирован — перечислять их как установленный факт некорректно.
IOC и индикаторы
В актуальных фидах ThreatFox для семейства опубликованы 3 IOC типа «domain», категория botnet_cc (C2-серверы ботнета), с тегом CountLoader; записи свежие, что подтверждает живую инфраструктуру. MalwareBazaar содержит свежий образец с подписью CountLoader; тип файла, формат и метаданные доставки в открытых сводках не раскрыты. Конкретные домены и хэши в статье не публикуются — актуальные значения доступны через фиды MalwareBazaar и ThreatFox; карточки образцов приведены ниже в скрытом разделе рендерера.
Обнаружение
- Сетевые сигналы: сопоставление DNS/HTTP-трафика рабочих станций с актуальными C2-доменами из ThreatFox (botnet_cc); периодические beacon-подобные запросы к новым доменам с нестандартными User-Agent — повод для проверки.
- Процессная телеметрия: запуск исполняемых файлов из временных каталогов и каталогов загрузок пользователя; создание дочерних процессов (cmd/PowerShell/rundll32) от архивных вложений или установщиков; инъекция — чтение/запись памяти чужих процессов от имени пользовательских процессов.
- Файловые и реестровые проверки: новые PE-файлы в %TEMP%/%APPDATA%, Run-ключи и задачи планировщика, созданные сразу после открытия вложения.
- YARA/сигнатуры: ориентироваться на публичные сигнатуры с меткой CountLoader в MalwareBazaar; собственные правила строить по строкам конфигурации и импортам после статического разбора образцов.
Защита и снижение риска
- Блокировать запуск исполняемых файлов из пользовательских каталогов (AppLocker/WDAC) — основной путь исполнения загрузчика.
- Ограничить права пользователей (без прав администратора на рабочих станциях) и контролировать создание задач планировщика и Run-ключей.
- Фильтрация почтовых вложений-архивов и блокировка рекламы/поддельных страниц установки ПО на периметре (DNS-фильтрация, репутационные списки).
- Держать EDR-агенты на всех узлах с включённой телеметрией процессов и сети; настроить алерты на beacon-паттерны.
- Сегментация сети и ограничение исходящего HTTP(S) с рабочих станций через прокси — снижает ценность C2-канала.
- MFA с защитой от перехвата сессий (фишинг-устойчивые методы), поскольку вторичные стилеры крадут cookie и токены.
Что делать при подозрении на заражение
- Изолировать узел от сети, сохранив телеметрию; исходить из возможности удалённого управления через C2.
- Сохранить артефакты: дампы процессов, журналы EDR, события процессов и сети, содержимое временных каталогов.
- Проверить закрепление: Run-ключи, задачи планировщика, службы, автозагрузка; проверить наличие вторичных файлов нагрузки.
- Оценить использование учётных данных: сброс паролей и отзыв сессий/токенов затронутых пользователей; проверить кражу cookie браузеров.
- Определить горизонт перемещения: аутентификационные журналы, lateral movement, другие узлы с теми же индикаторами.
- Удалить подтверждённые артефакты; если целостность системы нельзя подтвердить — переустановить ОС.
- Обновить блок-листы C2-доменов на периметре и уведомить смежные команды/CSIRT.
Ограничения текущего анализа
Установлено: принадлежность к классу загрузчик/ботнет, наличие в Malpedia, свежие образцы в MalwareBazaar и актуальные C2-домены в ThreatFox. Не подтверждено доступными источниками и требует статического/динамического анализа образцов: точные механизмы закрепления, используемые криптографические алгоритмы и формат конфигурации, полный набор команд C2, конкретные API и техники инъекции, а также перечень вторичных нагрузок, доставляемых в текущих кампаниях. Методы доставки описаны на уровне открытых исследований семейства и класса, а не подтверждены метаданными исследованных образцов. До получения результатов разбора образцов перечисленные классовые техники следует рассматривать как вероятностные ориентиры для мониторинга, а не как установленные факты о CountLoader.
Скачать образцы
Скачать образцы можно здесь:
Просмотр скрытого контента доступен зарегистрированным пользователям!
Источники
История обновлений статьи
- 08.10.2026 — Опубликована первая версия материала.
