Обзор и происхождение
QuirkyLoader — семейство вредоносных загрузчиков (loader/downloader) для Windows, основная функция которых — доставка, расшифровка и запуск последующих стадий вредоносного ПО на скомпрометированной машине. Сам по себе загрузчик не содержит финальной нагрузки: он выступает первым исполняемым звеном цепочки, через которую на конечные точки попадают инфостилеры, RAT-семейства и другие вторичные компоненты. Семейство зафиксировано в открытых базах индикаторов: MalwareBazaar отслеживает образцы с сигнатурой QuirkyLoader, ThreatFox содержит IOC-записи типа хэшей (md5, sha1, sha256), классифицированные как payload, а страница семейства присутствует в Malpedia.
По наблюдениям исследователей, загрузчики такого класса, включая QuirkyLoader, типично распространяются через фишинговые письма с вложениями-архивами, поддельные страницы установки популярного ПО, вредоносную рекламу и «крякнутые» программы. Целевая среда — пользовательские и корпоративные рабочие станции Windows; для корпоративного сектора опасность определяется тем, какая нагрузка доставляется через загрузчик: кража сессий и учётных данных вторичной нагрузкой позволяет атакующим обходить MFA и развивать атаку по сети.
Функциональные модули
- Загрузчик второй стадии. Получение финальной нагрузки по сети (HTTP/HTTPS) либо чтение зашифрованного блока из собственного файла/ресурса, после чего нагрузка расшифровывается и исполняется в памяти без записи на диск или с минимальными артефактами.
- Расшифровка конфигурации. Строка C2/URL и параметры нагрузки обычно хранятся в зашифрованном или закодированном виде и разбираются на этапе выполнения, что затрудняет статическое извлечение индикаторов.
- Исполнение нагрузки. Типовой приём — внедрение в легитимный процесс (process injection) либо запуск нагрузки через отражающую загрузку в собственном процессе, чтобы избежать прямого запуска подозрительного исполняемого файла.
- Проверка окружения. Загрузчики этого класса нередко выполняют элементарные проверки на песочницу и отладчик (имена процессов, время, признаки виртуализации) перед доставкой нагрузки; конкретная реализация в QuirkyLoader требует подтверждения анализом.
Техники и API
С точки зрения защиты характерны следующие приёмы, типичные для семейства загрузчиков и ожидаемые в QuirkyLoader: использование Windows API для работы с процессами и памятью — VirtualAlloc/VirtualProtect, WriteProcessMemory, CreateRemoteThread или аналогичные механизмы запуска кода в удалённом процессе; динамическое разрешение функций через GetProcAddress и LoadLibrary для сокрытия импорта; расшифровка нагрузки через CryptDecrypt или собственные реализации AES/RC4. Сетевые операции опираются на WinINet/WinHTTP с пользовательскими заголовками. Для закрепления загрузчики класса QuirkyLoader могут использовать задачи планировщика или Run-ключи реестра, однако конкретный механизм закрепления в открытых источниках для этого семейства детально не описан и требует проверки на образцах. Мониторить стоит создание дочерних процессов от офисных приложений/архиваторов, обращение к нетипичным доменам через WinHTTP и операции записи в память чужих процессов.
IOC и индикаторы
ThreatFox содержит три IOC-записи для QuirkyLoader: хэши md5, sha1 и sha256, категория — payload (индикаторы идентифицируют образец нагрузки). MalwareBazaar отслеживает образец с сигнатурой QuirkyLoader; типы файлов и методы доставки в метаданных не заполнены. Конкретные значения хэшей в тексте не публикуются — они доступны в карточках индикаторов и в карточках образцов, которые рендерер выводит ниже в скрытом блоке. Дополнительными индикаторами на уровне поведения служат: появление исполняемого файла из пользовательских каталогов с последующей сетевой активностью, аномальные дочерние процессы и следы инъекций в легитимных процессах.
Обнаружение
- Процессная телеметрия (EDR): офисное приложение, скрипт-интерпретатор или архиватор, порождающий исполняемый процесс; вызовы WriteProcessMemory/CreateRemoteThread в адресное пространство легитимного процесса; процессы с исполняемой памятью, не соответствующей образу на диске.
- Сеть: обращения к только что зарегистрированным или нетипичным доменам сразу после открытия вложения; HTTP(S)-трафик с нестандартными заголовками от процессов, которые обычно не выходят в сеть.
- Файлы и реестр: новые исполняемые файлы в каталогах пользователя (AppData, Temp), создание задач планировщика или Run-ключей процессом-загрузчиком.
- Сигнатуры: YARA-правила целесообразно строить на характерных для семейства строках конфигурации, последовательностях расшифровки и импортах инъекции; MalwareBazaar предоставляет образцы для валидации правил.
Защита и снижение риска
- Блокировать запуск исполняемых файлов из пользовательских каталогов и каталогов Temp средствами application control (WDAC/AppLocker).
- Ограничить права пользователей и отключить выполнение макросов из интернета; помечать файлы из сети Mark-of-the-Web.
- Фильтровать почту и рекламные каналы, блокировать доступ к известным фишинговым и «кряк»-ресурсам на прокси/DNS.
- Обеспечить полный охват конечных точек EDR с телеметрией инъекций и сетевых подключений процессов.
- Внедрить MFA с защитой от перехвата сессий (фишинг-устойчивые методы) — на случай доставки стилера через загрузчик.
- Сегментировать сеть и ограничить исходящие подключения рабочих станций до минимума (allowlist прокси).
Что делать при подозрении на заражение
- Изолировать скомпрометированную машину от сети, сохранив питание и телеметрию EDR.
- Зафиксировать и выгрузить журналы процессов, сетевые сессии, задачи планировщика, Run-ключи и точки автозапуска.
- Определить, какая вторичная нагрузка была доставлена: искать следы стилеров, RAT, дополнительных дропперов в памяти и на диске.
- Проверить соседние узлы и учётные записи на признаки горизонтального движения и использования украденных сессий.
- Сбросить пароли и токены затронутых учётных записей, отозвать активные сессии.
- Удаление самого загрузчика не закрывает инцидент: убедиться в отсутствии закрепления и вторичных компонентов; при невозможности подтвердить целостность системы — переустановка с проверенной резервной копии.
- Пополнить детектир: отправить собранные индикаторы в SIEM и, при возможности, поделиться хэшами через обмены типа MalwareBazaar/ThreatFox.
Ограничения текущего анализа
Открытые источники подтверждают существование и активность семейства (образцы с сигнатурой QuirkyLoader и хэши-индикаторы), однако детальная техническая информация — точные механизмы доставки, способ закрепления, используемые криптографические алгоритмы, целевые C2-протоколы и перечень доставляемых нагрузок — в доступных материалах не раскрыта. Утверждения о техниках внедрения и проверках окружения основаны на типичном поведении загрузчиков этого класса и требуют подтверждения статическим и динамическим анализом актуальных образцов. Метаданные образцов (типы файлов, архитектуры, методы доставки) в открытых базах не заполнены, что ограничивает точность профилей цепочки заражения.
Скачать образцы
Скачать образцы можно здесь:
Просмотр скрытого контента доступен зарегистрированным пользователям!
Источники
История обновлений статьи
- 07.10.2026 — Опубликована первая версия материала.
