QuirkyLoader: AOT DLL‑загрузчик, распространяющий RATы и инфокрады

QuirkyLoader — недавно выявленный загрузчик вредоносного ПО, который служит «транспортным звеном» для распространения различных полезных нагрузок, включая infostealer’ы и трояны удаленного доступа (RATs). Заражение обычно начинается с открытия пользователем архивного файла, пришедшего по спаму; внутри архива злоумышленники прячут сочетание легитимных и зашифрованных компонентов, чтобы обойти защиту и обеспечить многослойное внедрение вредоноса.

Сценарий заражения

Типичная цепочка заражения с участием QuirkyLoader включает несколько этапов:

• пользователь получает спам-письмо с вложением (архивом);
• в архиве содержится легитимный исполняемый файл вместе с зашифрованной полезной нагрузкой, замаскированной под библиотеку DLL;
• в архив также помещён специальный модуль загрузки DLL, который инициирует исполнение замаскированной полезной нагрузки;
• иногда злоумышленники добавляют дополнительные легитимные библиотеки DLL, чтобы ещё больше затушевать злонамеренную активность.

Технические особенности загрузчика

Модуль загрузки DLL в QuirkyLoader выделяется тем, что реализован на C# .NET с применением предварительной компиляции (AOT). Процесс выглядит следующим образом:

• исходный код C# сначала компилируется в MSIL;
• далее MSIL преобразуется в машинный код, что делает конечный бинарник похожим на программу, написанную на C или C++;
• такой подход повышает скрытность: вредоносная программа теряет очевидные признаки .NET-приложения, усложняя обнаружение традиционными средствами.

Авторы отчёта подчёркивают, что описанный «процесс сетевой компиляции», позволяющий конечному двоичному файлу выглядеть как нативное приложение, отличается от общепринятой практики и служит цель маскировки истинной природы загрузчика.

Виктимология и кампании — июль 2025

По результатам виктимологических исследований, QuirkyLoader был задействован в целевых кампаниях в июле 2025 года, нацеленных на Тайвань и Мексику:

• На Тайване кампания была направлена на сотрудников Nusoft Taiwan — исследовательской фирмы по безопасности; в рамках атаки распространялся Snake Keylogger infostealer.
• В Мексике злоумышленники использовали как Remcos RAT, так и AsyncRAT, атакуя различных пользователей.

Сетевая инфраструктура и индикаторы

Расследование выявило связанную сетевую инфраструктуру, которая привела к домену catherinereynolds.info. Ключевые факты:

• домен: catherinereynolds.info;
• IP-адрес основного ресурса: 157.66.225.11;
• на сервере обнаружен веб‑клиент Zimbra;
• используется SSL‑сертификат с общим именем (CN) mail.catherinereynolds.info;
• дополнительные IP‑адреса, связанные со схожей инфраструктурой: 103.75.77.90 и 161.248.178.212, что указывает на скоординированные усилия злоумышленников.

Многоэтапная методология и использованные семейства вредоноса

QuirkyLoader представляет собой пример многоэтапной методологии заражения, которая комбинирует классические и современные техники:

• распространение через вредоносные email‑кампании;
• сложные методы DLL side-loading для запуска основного модуля;
• дешифровка и загрузка предполагаемой полезной нагрузки (включая известные семейства: Agent Tesla, AsyncRAT, Remcos и другие).

«QuirkyLoader — пример угрозы, использующей нестандартные методы компиляции и сложные цепочки доставки, что повышает вероятность обхода традиционных средств защиты».

Последствия и рекомендации

QuirkyLoader является серьёзной угрозой в сфере кибербезопасности: сочетание AOT‑компиляции, маскировки под нативный код и многоступенчатой доставки затрудняет обнаружение и анализ. Организациям и пользователям рекомендуется придерживаться базовых мер предосторожности:

• не открывать вложения и архивы из сомнительных писем;
• проверять отправителя и целевой домен перед выполнением скачанных файлов;
• обновлять антивирусные и EDR‑решения, включая сигнатуры и эвристики;
• блокировать и мониторить указанные домены и IP‑адреса в сетевой инфраструктуре до завершения расследования;
• проводить анализ поведения запущенных процессов и контроль целостности критичных библиотек DLL.

В условиях эволюции тактик злоумышленников важна проактивная защита и обмен информацией о новых индикаторах компрометации между специалистами по безопасности.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.