Обзор и происхождение
SmartLoader — семейство вредоносного ПО для Windows, классифицируемое как загрузчик/ботнет: его задача — закрепиться на узле, получить конфигурацию и команды с управляющего сервера и доставить вторичную нагрузку. Семейство зафиксировано в каталоге Malpedia (win.smartloader), а свежие образцы и индикаторы продолжают появляться в MalwareBazaar и ThreatFox, что говорит о текущей, а не исторической активности.
Характерная особенность семейства, отражённая в тегах индикаторов, — использование LuaJIT: логика бота реализуется на Lua-скриптах, исполняемых через LuaJIT-рантайм, что позволяет операторам быстро менять поведение бота без пересборки бинарного загрузчика. Тег Polygon указывает на применение блокчейн-инфраструктуры сети Polygon как канала распространения конфигурации или адресов инфраструктуры: данные, размещённые в смарт-контрактах или публичных блокчейн-хранилищах, крайне сложно заблокировать традиционными средствами фильтрации. Тег Github отражает использование публичных репозиториев/хостинга GitHub как элемента цепочки доставки или хранения компонентов.
Целевая среда — пользовательские и корпоративные рабочие станции Windows. Для корпоративного сектора главный риск определяется тем, какая нагрузка доставляется через загрузчик: кража сессий и учётных данных вторичной нагрузкой позволяет атакующим обходить MFA и перемещаться по инфраструктуре.
Функциональные модули
- Загрузчик (loader core): базовый PE-компонент, отвечающий за первичный запуск, дешифровку встроенной конфигурации и инициализацию связи с управляющей инфраструктурой.
- LuaJIT-бот-логика: исполняемые Lua-скрипты, определяющие поведение бота — команды, расписание задач, параметры доставки нагрузки. Модульность на Lua позволяет операторам обновлять функциональность централизованно.
- Модуль получения конфигурации: извлечение актуальных адресов C2 и параметров, в том числе через блокчейн-инфраструктуру Polygon и/или публичный хостинг GitHub — это снижает зависимость от фиксированных IP-адресов и затрудняет блокировку канала.
- Канал C2 (botnet): периодический обмен с управляющим сервером по сетевым протоколам; подтверждённые индикаторы типа ip:port с категорией botnet_cc указывают на классическую ботнет-архитектуру с выделенными C2-узлами.
- Доставка вторичной нагрузки: скачивание и запуск последующих компонентов (стилеры, RAT, майнеры и т. п. — конкретный набор зависит от кампании и в открытых данных не зафиксирован).
Техники и API
Исходя из архитектуры семейства, защитникам имеет смысл ориентироваться на следующие техники (конкретные реализации в доступных материалах не детализированы):
- Сетевое взаимодействие с C2 по IP:порт — мониторинг исходящих соединений к нестандартным портам и редким внешним адресам.
- Загрузка конфигурации/компонентов через HTTPS к инфраструктуре GitHub и публичным блокчейн-RPC-шлюзам (Polygon) — аномальные запросы к RPC-эндпоинтам с рабочих станций — сильный сигнал.
- Исполнение встроенных Lua-скриптов через LuaJIT — в памяти процесса характерны строки/структуры LuaJIT-байткода; статически это может выглядеть как нетипичное наличие LuaJIT-рантайма в неподписанном PE.
- Типичные для загрузчиков техники запуска нагрузки: CreateProcess / CreateRemoteThread / Process Hollowing (запись в память чужого процесса через WriteProcessMemory, ResumeThread) — использовать как гипотезы для охоты, а не как подтверждённые факты.
- Возможное закрепление через Run-ключи реестра, задачи планировщика или службы — проверять при расследовании; подтверждения в открытых данных нет.
IOC и индикаторы
В открытых базах на момент подготовки профиля доступны:
- 2 свежие IOC-записи типа ip:port с категорией botnet_cc — адреса управляющих серверов ботнета; теги записей: SmartLoader, Github, LuaJIT, Polygon.
- 1 свежий образец с сигнатурой SmartLoader в MalwareBazaar; тип файла и методы доставки в метаданных не указаны.
Сырые значения индикаторов (IP-адреса, хэши) в тексте не публикуются; карточки образцов с хэшами добавляются ниже рендерером. Для операционного использования IOC рекомендуется выгрузка из ThreatFox/MalwareBazaar с учётом дат актуальности.
Обнаружение
- Сеть: исходящие соединения к IOC-адресам C2; запросы к публичным блокчейн-RPC-шлюзам (Polygon) и нетипичные для рабочего профиля обращения к raw-контенту GitHub — сопоставлять с процессом-инициатором.
- Процессы: неподписанный PE, в адресном пространстве которого присутствует LuaJIT; родительские цепочки, характерные для доставки (архивы из почты, установщики).
- Файлы: наличие Lua-скриптов или LuaJIT-байткода в каталогах пользователя/Temp; нетипичные исполняемые файлы, появляющиеся после таких скриптов.
- YARA-ориентир: сигнатуры на сочетание строк LuaJIT-рантайма, строк сети Polygon/RPC и упаковочных признаков в PE; точные правила следует строить по разбору актуальных образцов.
- EDR: отслеживание создания дочерних процессов из процессов с сетевой активностью к C2, инъекции памяти (WriteProcessMemory + CreateRemoteThread) как гипотеза для охоты.
Защита и снижение риска
- Блокировать на периметре доступ рабочих станций к публичным блокчейн-RPC-эндпоинтам, если они не нужны бизнесу.
- Ограничить доступ к raw-контенту GitHub с конечных узлов политиками веб-фильтрации; применять application control (WDAC/AppLocker) против запуска неподписанных бинарников из пользовательских каталогов.
- Держать EDR в режиме блокировки с включённой защитой от инъекций и AMSI/скрипт-контролем.
- Сегментация сети и ограничение исходящих соединений рабочих станций по allowlist.
- Патч-менеджмент и минимизация локальных прав пользователей; MFA с защитой сессий (не только логина) на случай доставки стилера через загрузчик.
- Мониторинг и алертинг на IOC из ThreatFox с регулярным обновлением набора.
Что делать при подозрении на заражение
- Изолировать узел от сети, сохраняя питание и память для форензики; исходить из возможности удалённого управления со стороны C2.
- Сохранить телеметрию: журналы процессов EDR, сетевые сессии (включая обращения к C2, GitHub, RPC-шлюзам), артефакты автозапуска.
- Проверить закрепление: Run-ключи, планировщик, службы, задачи WMI, подменённые ярлыки.
- Оценить использование учётных данных: сброс паролей затронутых учётных записей, отзыв сессий/токенов, проверка аномальных входов — загрузчик мог доставить стилер.
- Определить масштаб: поиск соединений к тем же C2-адресам и похожих LuaJIT-артефактов на других узлах.
- Удалить подтверждённые артефакты и проверить отсутствие вторичной нагрузки; если целостность системы подтвердить нельзя — переустановить ОС из доверенного источника.
- Обновить блок-листы периметра адресами C2 и задокументировать инцидент.
Ограничения текущего анализа
Подтверждено: существование семейства, его классификация как ботнета/загрузчика, наличие свежих C2-индикаторов типа ip:port и как минимум одного свежего образца, а также связь с LuaJIT, GitHub и Polygon по тегам индикаторов. Не подтверждено и требует статического/динамического разбора актуальных образцов: конкретные Windows API и техники инъекций, методы закрепления, точный формат конфигурации и блокчейн-механики, протокол C2, набор доставляемых вторичных нагрузок и вектор первичной доставки. Методы доставки в метаданных образцов отсутствуют; выводы о цепочке заражения следует делать только после анализа образца.
Скачать образцы
Скачать образцы можно здесь:
Просмотр скрытого контента доступен зарегистрированным пользователям!
Источники
История обновлений статьи
- 07.10.2026 — Опубликована первая версия материала.
