В августе 2026 года обнаружен новый загрузчик 2CLoader, который заражает компьютеры под управлением Windows и готовит почву для кражи данных. Загрузчики выступают первой ступенью атаки: они проникают в систему, закрепляются в ней и лишь затем скачивают основную вредоносную программу. Такой подход усложняет раннее обнаружение, поскольку на первом этапе вредоносный код почти не проявляет активности. Чаще всего 2CLoader доставляет программы для кражи информации Vidar и Remus, а также вредоносную программу удалённого доступа XWorm.
Описание
Своё имя загрузчик получил из-за особенностей упаковки. Внутри одного файла он хранит и настройки, и зашифрованную полезную нагрузку. Перед запуском 2CLoader дважды перемешивает содержимое простыми операциями, а ключ для стойкого шифрования вычисляет из контрольной суммы собственного исполняемого кода. Готового вредоносного кода на диске нет - он собирается только в оперативной памяти. Настройки описывают, каким способом запускать нагрузку, как закрепляться в системе и какие проверки окружения выполнять. Отдельные поля позволяют отложить запуск, показать пользователю заранее подготовленное окно с сообщением и удалить вспомогательные файлы после перезагрузки. Есть и защита от повторного старта: загрузчик создаёт временный файл-маркер и завершает работу, если копия с тем же идентификатором уже запущена.
По данным Zscaler ThreatLabz, 2CLoader отличается богатым набором средств противодействия анализу. Вместо штатных системных функций он обращается к ядру операционной системы напрямую, обходя перехваты, которыми пользуются защитные решения. Если такой способ не срабатывает, загрузчик возвращается к обычным вызовам, чтобы не прерывать работу. Дополнительно он расставляет собственные перехваты в чужих процессах и искажает данные, которые другие программы получают от операционной системы. Это затрудняет работу как автоматических песочниц (изолированных сред для безопасного запуска кода), так и живых аналитиков.
Перед расшифровкой нагрузки 2CLoader проверяет, не попал ли он в исследовательскую среду. Он ищет признаки виртуальных машин, отслеживает подключение отладчика и ждёт активности пользователя - движения курсора или нажатия клавиш. Проверки делятся на две группы: однозначные, когда одного совпадения достаточно для отказа от запуска, и балльные. Во втором случае загрузчик набирает баллы за признаки настоящего компьютера: число запущенных процессов, объём памяти и диска, время работы системы, разрешение экрана, наличие недавних файлов. Система считается реальной, если итоговый балл достигает восьми. Примечательно, что виртуальные машины Microsoft Hyper-V из списка исключены, а продукты VMware, VirtualBox, KVM, Xen, Parallels и QEMU - нет.
Отдельного внимания заслуживает подмена сведений о жертве. Загрузчик перехватывает обращения программ к системным данным и возвращает вымышленные значения: случайное имя пользователя из короткого списка, имя компьютера, начинающееся с DESKTOP-, произвольный серийный номер тома и данные о производителе материнской платы. Похожим образом он правит сведения, полученные из сети. Зачем нужна такая маскировка, авторы отчёта не объясняют; вероятная цель - запутать автоматические системы анализа.
Закрепление в системе зависит от конфигурации. Загрузчик может прописаться в ключах автозапуска текущего пользователя, скопировать себя в папку автозагрузки или создать задание в планировщике. Во всех случаях он маскируется под системную службу безопасности Windows, чтобы не вызывать подозрений при просмотре списка автозапуска. Управление идёт через обычный веб-протокол: 2CLoader отправляет зашифрованные сообщения с данными о системе, правах процесса, объёме памяти и языке пользователя, а взамен получает указания и отчитывается о ходе выполнения. Первое сообщение подтверждает успешный запуск, последующие сообщают о статусе операций.
Практическая опасность связана не столько с самим загрузчиком, сколько с тем, что он приносит. Vidar и Remus собирают пароли, данные банковских карт и файлы из браузеров, а также содержимое криптовалютных кошельков. Украденные учётные данные злоумышленники затем применяют для дальнейших атак: от рассылки писем от имени жертвы до попыток войти в корпоративные сервисы. Один захваченный компьютер сотрудника способен открыть доступ к внутренним ресурсам компании, поэтому заражение личной техники перестаёт быть частной проблемой.
Отдельная сложность в том, что загрузчики как класс развиваются быстрее, чем методы обнаружения по подписям. Один и тот же 2CLoader в разных кампаниях несёт разные полезные нагрузки, меняет настройки и внешний вид файла. Чтобы ускорить разбор новых образцов, исследовательская группа сопроводила отчёт скриптом для расшифровки полезной нагрузки и описанием её структуры. Другие команды могут пользоваться этими материалами при анализе собственных находок.
Защита строится на базовых мерах. Обновляйте операционную систему и прикладные программы, не запускайте файлы из вложений и с сомнительных сайтов, включите двухфакторную аутентификацию для рабочих аккаунтов. Полезно периодически просматривать список автозагрузки и планировщик заданий: появление неизвестных записей под именами системных служб служит тревожным сигналом. Компаниям стоит следить за поведением процессов, а не только за известными образцами вредоносных программ, поскольку загрузчик меняет облик при каждой новой кампании и легко обходит проверки по сигнатурам. Ограничение прав пользователей и сегментация сети снижают ущерб, если заражение всё же произошло.
Индикаторы компрометации
