ダウンローダ

ダウンローダは、実行されると攻撃者のインフラから追加マルウェアを取得する小さな初期ステージプログラムである。ドロッパーと異なり自前のペイロードはほぼ持たず、HTTP(S)、DNS、メッセージングアプリのチャネルを使って C2 と通信し、次段階を取得する。この分離により初期バイナリを小さく無害に見せられ、運用者は任意のペイロードに差し替えられる。マクロ/HTA スクリプト、JavaScript ダウンローダ、署名済みのトロイ化インストーラなどの形態がよく見られる。対策としては、外向き通信のフィルタリング、既知 C2 の DNS シンクホール化、「ダウンロード→実行」パターンを検知する EDR、メール/Web の隔離、不要なスクリプトホストの無効化などが挙げられる。