Обзор и происхождение
Satacom — семейство вредоносного ПО для Windows, сочетающее свойства загрузчика/ботнета и модели «stealer-as-a-service». В открытых источниках и базах индикаторов семейство фигурирует также под именем LegionLoader: тег LegionLoader сопровождает свежие IOC-записи, что указывает на тесную связь или общую инфраструктуру этих обозначений. Семейство зарегистрировано в каталоге Malpedia (win.satacom), а свежие индикаторы продолжают появляться в ThreatFox, что говорит о текущей, а не исторической активности.
Исторические описания семейства упоминают несколько реализаций — в том числе на PureBasic, C++ и .NET — что объясняет разнородность образцов и необходимость семейного, а не побайтового детектирования. Классическая модель распространения Satacom/LegionLoader — вредоносная реклама и поддельные страницы установки популярного ПО (крэки, «оптимизаторы», «чистильщики» браузеров): жертве предлагается якобы полезная утилита, внутри которой находится загрузчик. Также описывались фишинговые письма с архивами во вложении.
Целевая среда — пользовательские и корпоративные рабочие станции Windows. Для корпоративного сектора главная опасность — вторичная нагрузка: кража cookie-сессий и учётных данных позволяет обходить MFA через перехват уже установленных сессий и служит точкой входа для дальнейшего перемещения по инфраструктуре.
Функциональные модули
- Загрузчик/дроппер. Первичный компонент, закрепляющийся на узле, получающий конфигурацию и команды с управляющего сервера и доставляющий вторичную нагрузку. В исследованных образцах встречались 64-битные PE-файлы.
- Ботнет-компонент (C2). Поддерживает связь с командным сервером (категория botnet_cc в индикаторах), принимает команды и передаёт информацию о заражённом узле.
- Кража данных браузеров. Извлечение cookie-сессий, сохранённых учётных данных и токенов из браузеров — ключевой элемент модели «stealer-as-a-service», позволяющий атакующему продолжать работу в легитимных сессиях жертвы.
- Доставка вторичной нагрузки. По модели семейства загрузчик используется как точка входа для дополнительных стилеров, кейлоггеров и beacon'ов C2-фреймворков; точный состав нагрузки зависит от заказчика и конфигурации.
- Маскировка под легитимную утилиту. Инсталлятор позиционируется как «оптимизатор» или «чистильщик» браузера, что снижает подозрения пользователя и затрудняет поведенческую атрибуцию на этапе запуска.
Техники и API
Из-за разнородности реализаций (PureBasic, C++, .NET) универсальный список API построить нельзя; ниже — техники, характерные для семейства и класса, которые стоит проверять телеметрией:
- Доступ к хранилищам браузеров: чтение файлов профилей (SQLite-базы cookie и данных входа в Chrome и производных, профильные хранилища Firefox) и расшифровка защищённых полей через Windows DPAPI (CryptUnprotectData).
- Закрепление через Run-ключи реестра и/или задачи планировщика (типично для загрузчиков этого класса; конкретные ключи в текущих источниках не зафиксированы).
- Сетевое взаимодействие по HTTP/HTTPS с серверами доставки и C2; для .NET-реализаций характерны системные классы работы с сетью, для нативных — WinINet/WinHTTP.
- Запуск дочерних процессов через CreateProcess и, в ряде реализаций, инъекция кода в легитимные процессы (VirtualAllocEx/WriteProcessMemory/CreateRemoteThread) — типовой приём доставки beacon'ов; подтверждение для конкретных билдов требует анализа.
IOC и индикаторы
ThreatFox содержит 5 свежих IOC-записей для Satacom: типы — domain и url; категории активности — payload_delivery (серверы распространения нагрузки) и botnet_cc (командные серверы). Все записи сопровождаются тегом LegionLoader, что подтверждает связь обозначений. Конкретные значения индикаторов в тексте не публикуются; карточки образцов при наличии добавляются ниже блоком рендерера. Для практической работы рекомендуется выгружать актуальные значения напрямую из ThreatFox и сверять их с Malpedia-страницей семейства.
Обнаружение
- Процессная телеметрия: запуск PE-файла из каталогов загрузки/временных каталогов, родительские цепочки вида браузер → установщик → загрузчик; аномальные дочерние процессы у утилит-«оптимизаторов».
- Файловая активность: обращения к профилям браузеров (файлы cookie и хранилищ учётных данных) из процесса, не являющегося браузером; массовое чтение SQLite-баз с последующей исходящей передачей.
- Реестр/закрепление: новые Run-ключи и задачи планировщика, созданные недавно установленными «утилитами».
- Сеть: TLS/HTTP-соединения с индикаторами категорий payload_delivery и botnet_cc из ThreatFox; запросы к доменам, совпадающим с тегом LegionLoader.
- Сигнатуры/YARA: из-за нескольких стеков разработки (PureBasic, C++, .NET) побайтовые сигнатуры ненадёжны; ориентироваться на строковые и структурные признаки каждой реализации и на поведенческие правила EDR.
Защита и снижение риска
- Ограничить установку ПО пользователями; блокировать загрузку исполняемых файлов из категорий «крэки/оптимизаторы» через веб-фильтр и DNS-фильтрацию по актуальным IOC.
- Внедрить WDAC/AppLocker: разрешённый список блокирует запуск загрузчика из пользовательских каталогов.
- Защитить браузерные хранилища: корпоративные политики, ограничивающие сохранение паролей в браузерах, и менеджеры паролей с аппаратной привязкой снижают ценность кражи.
- EDR в режиме блокировки с правилами на доступ к профилям браузеров из не-браузерных процессов.
- Фишинг-устойчивая MFA (FIDO2/passkeys) вместо сессионных cookie-токенов там, где возможно; сокращение времени жизни сессий.
- Сегментация рабочих станций и ограничение исходящего трафика до прокси с логированием — упрощает выявление C2-канала.
Что делать при подозрении на заражение
- Изолировать узел от сети, сохранив телеметрию EDR; исходить из возможности удалённого управления через C2.
- Сохранить артефакты: дампы процессов, журналы, сетевые логи, содержимое профилей браузеров до изменений.
- Проверить закрепление: Run-ключи, задачи планировщика, автозагрузку, службы; удалить подтверждённые артефакты.
- Оценить компрометацию учётных данных: принудительно завершить сессии (revoke tokens/cookies), сбросить пароли затронутых учётных записей, проверить журналы входов на аномалии — перехваченные cookie-сессии позволяют обходить MFA.
- Определить масштаб: поиск совпадающих IOC и поведенческих паттернов на других узлах, включая возможное дальнейшее перемещение по инфраструктуре.
- Если целостность системы нельзя подтвердить (загрузчик мог доставить дополнительную нагрузку), переустановить ОС из проверенного образа.
- Обновить детекты: добавить выявленные индикаторы в блок-листы и правила SIEM/EDR.
Ограничения текущего анализа
Достоверные сведения о текущей активности опираются на свежие IOC-записи ThreatFox (домены и URL категорий payload_delivery и botnet_cc) и связь с Malpedia; детального разбора свежих билдов в доступных источниках нет. Исторические описания (стеки PureBasic/C++/.NET, каналы распространения, модель кражи сессий) относятся к семейству в целом и не подтверждены для конкретных недавних образцов. Точные механизмы закрепления, состав вторичной нагрузки, используемые протоколы C2 и шифрование требуют статического и динамического анализа актуальных образцов; соответствующие утверждения выше следует рассматривать как вероятностные для класса, а не как установленные факты.
Источники
История обновлений статьи
- 09.10.2026 — Опубликована первая версия материала.
