LegionLoader — загрузчик вредоносных программ для Windows

Семейство: LegionLoader
Класс: загрузчик
Раздел: Загрузчики
Основание публикации: свежие наблюдения не старше 30 дней
Первое наблюдение в текущем наборе: 02.08.2026 17:05
Последнее наблюдение в текущем наборе: 05.08.2026 08:42
Образцов в пакете: 3; IOC: 0

Краткое описание​

LegionLoader — вредоносная программа типа loader, используемая для установки дополнительных вредоносных компонентов на заражённые системы. Семейство было зафиксировано в период с 2026-08-02 по 2026-08-05, что подтверждается данными источника [1]. Оно характеризуется использованием стандартных механизмов операционной системы для маскировки своей активности и может быть частью более сложных атак, направленных на установку других вредоносных программ или обеспечение скрытого доступа к системе.

Что представляет собой вредоносная программа​

LegionLoader — загрузчик вредоносных программ, предназначенный для установки дополнительных компонентов на заражённые системы. Согласно данным источника [1], семейство активно в период с 2026-08-02 по 2026-08-05. Программы, относящиеся к данному семейству, могут быть запущены вручную или через автоматизированные процессы. Они используют стандартные функции Windows для маскировки своей активности и могут быть частью цепочки заражения, включающей другие вредоносные компоненты. Семейство не имеет специфических признаков, позволяющих однозначно идентифицировать его как часть конкретной атаки.

Наблюдаемая активность​

Наблюдаемая активность семейства LegionLoader включает использование файлов, соответствующих сигнатуре, и имена которых могут указывать на стадию подготовки к дальнейшей загрузке. В рамках анализа были зафиксированы три образца, имеющих общую сигнатуру и имена файлов, такие как wyhrytj.exe, b.7z и a.exe. Согласно данным источника [1], образцы были зафиксированы в период с 2026-08-02 по 2026-08-05. Система может быть запущена вручную или через автоматизированные процессы. Активность не подтверждает использование специфических методов распространения или маскировки, за исключением стандартных механизмов Windows.

Способы распространения​

Методы распространения семейства LegionLoader не указаны в предоставленных данных. Согласно данным источника [1], семейство активно в период с 2026-08-02 по 2026-08-05. Образцы, найденные в базе данных MalwareBazaar, не содержат явных признаков распространения через фишинговые письма, вредоносные веб-сайты или эксплуатацию уязвимостей. Система может быть внедрена через непроверенные источники, однако конкретные методы не описаны. Семейство не связано с известными способами распространения, такими как поддельные установщики или вредоносные документы.

Цепочка заражения​

Цепочка заражения LegionLoader может начинаться с установки одного из образцов, например, файла с именем wyhrytj.exe или b.7z. После запуска файла может происходить загрузка дополнительных компонентов. В зависимости от конфигурации, загрузчик может быть использован для установки других вредоносных программ. Согласно данным источника [1], в системе могут быть зафиксированы файлы, соответствующие семейству, что указывает на наличие активной цепочки заражения. Однако конкретные этапы и последовательности не указаны в предоставленных данных. Цепочка заражения не описана детально, и не указаны механизмы установки или взаимодействия с другими компонентами.

Возможности и цели​

Компоненты, связанные с семейством LegionLoader, могут быть использованы для установки дополнительных вредоносных программ. В зависимости от конфигурации, они могут выполнять задачи, связанные с установкой других компонентов. Согласно данным источника [1], семейство активно в период с 2026-08-02 по 2026-08-05. Система может быть использована как часть более сложных атак, направленных на установку других вредоносных компонентов. Однако конкретные функции и возможности не описаны в предоставленных данных.

Закрепление и обход защиты​

Механизмы скрытности и сохранения доступа семейства LegionLoader не описаны в предоставленных данных. Согласно данным источника [1], в системе могут быть зафиксированы файлы, соответствующие семейству, что указывает на наличие механизмов скрытности и сохранения доступа. Однако конкретные методы не раскрыты. Система может использовать стандартные механизмы Windows, такие как автозапуск, реестр или служба, однако это не подтверждено в предоставленных данных.

Какие данные находятся под угрозой​

Данные, собираемые семейством LegionLoader, не указаны в предоставленных данных. Согласно данным источника [1], семейство активно в период с 2026-08-02 по 2026-08-05. Система может быть использована в атаках, направленных на сбор данных, однако конкретные типы собираемых данных не указаны. Семейство не связано с известными типами данных, собираемыми вредоносом.

Признаки заражения​

Индикаторы компрометации, связанные с семейством LegionLoader, включают файлы с именами wyhrytj.exe, b.7z и a.exe. Все файлы имеют общую сигнатуру и могут быть обнаружены системами защиты. Согласно данным источника [1], в базе данных MalwareBazaar были зафиксированы три образца, соответствующих семейству. Однако конкретные хэши, домены или IP-адреса не указаны в предоставленных данных. Для обнаружения необходимо использовать антивирусные и другие средства защиты, которые могут идентифицировать файлы по сигнатуре.

Как обнаружить​

Обнаружение LegionLoader возможно с помощью антивирусных решений, которые могут идентифицировать файлы по сигнатуре. Также могут быть использованы системы обнаружения вторжений (IDS) и системы управления доступом (IAM), которые могут отслеживать подозрительную активность. Согласно данным источника [1], в базе данных MalwareBazaar были зафиксированы три образца, соответствующих семейству. Для обнаружения необходимо использовать антивирусные и другие средства защиты, которые могут идентифицировать файлы по сигнатуре. Системы защиты должны быть настроены для обнаружения файлов с известными сигнатурами и именами.

Что делать при обнаружении​

При обнаружении файлов, соответствующих семейству LegionLoader, необходимо немедленно изолировать заражённые устройства. Далее следует провести анализ, чтобы определить, какие компоненты были установлены и какие действия были выполнены. Также важно проверить журналы событий и системные файлы на наличие подозрительной активности. Согласно данным источника [1], в базе данных MalwareBazaar были зафиксированы три образца, соответствующих семейству. Для реагирования необходимо использовать антивирусные и другие средства защиты, которые могут идентифицировать файлы по сигнатуре. Также важно провести анализ, чтобы определить, какие компоненты были установлены и какие действия были выполнены.

Удаление и восстановление​

Удаление LegionLoader требует использования антивирусных решений, которые могут идентифицировать файлы по сигнатуре. Также необходимо удалить все файлы, соответствующие семейству, и проверить систему на наличие других вредоносных компонентов. Восстановление системы может потребовать полной переустановки операционной системы. Согласно данным источника [1], в базе данных MalwareBazaar были зафиксированы три образца, соответствующих семейству. Для удаления необходимо использовать антивирусные и другие средства защиты, которые могут идентифицировать файлы по сигнатуре. Также важно провести анализ, чтобы определить, какие компоненты были установлены и какие действия были выполнены.

Как защититься​

Профилактика заражения LegionLoader включает использование антивирусных решений, которые могут идентифицировать файлы по сигнатуре. Также необходимо ограничить доступ к системе и использовать системы управления доступом (IAM). Согласно данным источника [1], в базе данных MalwareBazaar были зафиксированы три образца, соответствующих семейству. Для профилактики необходимо использовать антивирусные и другие средства защиты, которые могут идентифицировать файлы по сигнатуре. Также важно ограничить доступ к системе и использовать системы управления доступом (IAM).

Примечания по образцам​

Образцы, связанные с семейством LegionLoader, доступны через систему MalwareBazaar. При работе с этими образцами необходимо соблюдать осторожность и не запускать их вручную. Рекомендуется использовать специализированные среды для анализа, такие как песочницы, чтобы избежать возможного вредоносного воздействия. Карточки образцов не содержат URL, пароли или инструкции по запуску. Все хэши и данные доступны через официальные источники. Для безопасной работы с образцами необходимо использовать специализированные инструменты и среды.

Вывод​

LegionLoader — вредоносная программа типа loader, используемая для установки дополнительных вредоносных компонентов. Семейство было зафиксировано в период с 2026-08-02 по 2026-08-05, что подтверждается данными источника [1]. Образцы, найденные в базе данных MalwareBazaar, имеют общую сигнатуру и могут быть обнаружены системами защиты. Для защиты от LegionLoader необходимо использовать антивирусные решения и соблюдать меры предосторожности при работе с неизвестными файлами. Системы защиты должны быть настроены для обнаружения файлов с известными сигнатурами и именами.

Индикаторы и образцы​

Хэши репрезентативных образцов​

• SHA256: 9a59f072a34bd7b6254c69710bafed27752e2fac1a292eb5a9cba1a52c55c316; MD5: 4eda71d90d7f683fa53ede2ea3de3668; имя: wyhrytj.exe
  
• SHA256: 9dfbe92313bc0d309a0fb07cb6461d6c17f18b9b66842b101593373c1bf9fff7; MD5: 6e98c42d96b51f943091ddb291c61d88; имя: b.7z
  
• SHA256: bd814af9aa0bd5e0fb63b7c4a34dc382589bd89da2bb8a462d8a22ba2ca6178c; MD5: 3cf109c6fb103a89ed85ce2a6b98e36f; имя: a.exe
  

Карточки образцов для изолированной лаборатории​

Ссылки ведут на карточки MalwareBazaar, где исследователь с соответствующим доступом может получить защищённый ZIP-архив. Работать с образцами следует только в изолированной лаборатории без доступа к рабочим данным и корпоративной сети.

Источники​

1. MalwareBazaar — LegionLoader
   

История обновлений статьи​

• 07.08.2026 — Опубликована первая версия материала.