ローダ.

ローダは、リフレクティブ DLL インジェクション、プロセスハロウィング、シェルコード実行などの手法を用いて、追加マルウェアをメモリ上に取得・復号・実行する専門の初期ステージコンポーネントである。次の段階に制御を渡す前に、ホストのプロファイリング、防御の無効化、永続化の設定などを行うことが多い。ローダは現代の MaaS(マルウェアサービス化)エコシステムの中核となり、アクセスブローカーがランサムウェア提携者や情報窃取マルウェア運営者に感染端末を販売する役割を担う。対策としては、注入手法をふるまいで検知できる EDR/XDR、AMSI、PowerShell の Constrained Language Mode、アプリケーション許可リスト、IcedID・Smoke Loader・Bumblebee など著名なローダ系列に関する脅威インテリジェンスが有効である。

実在するローダとテイクダウン

QakBot(Qbot)はその原型だった。バンキング型トロイの木馬から派生したローダで、Conti、REvil、ProLock、Egregor、Black Basta などのランサムウェアを配布していた。2023 年 8 月、FBI 主導の「Operation Duck Hunt」は 52 台のサーバを押収し、ボットネットを当局管理下のインフラへ誘導、70 万台超の感染ホストへアンインストーラを配信し、この作戦を約 5,800 万ドルの身代金手数料と結び付けた。続く Europol の「Operation Endgame」(2024 年 5 月)は、IcedID、SmokeLoader、Pikabot、SystemBC、Bumblebee といった後継ローダ群を一斉に解体した。ローダ生態系に対する史上最大の作戦である。パターンは明確だ。ローダ層を潰せば、後続のランサムウェアは供給を断たれる。

ローダはますますファイルレス化しており——ペイロードをメモリ上でのみ復号し、rundll32・regsvr32・mshta などの署名済み LOLBin を悪用する——シグネチャスキャンだけでは取りこぼす。有効な防御は多層で、注入(CreateRemoteThread、プロセスハロウィング)をふるまいで検知する EDR/XDR、AMSI によるスクリプト検査、PowerShell の Constrained Language Mode、アプリケーション許可リスト、マクロや LNK/ISO 配信の制御、活動中のローダ系列に関する脅威インテリジェンスを組み合わせる。

flowchart LR
  A[Initial access: phishing LNK / ISO / macro] --> B[Loader executes]
  B --> C[Profile host and disable defences]
  C --> D[Establish persistence]
  D --> E[Fetch encrypted payload from C2]
  E --> F[Decrypt and inject in memory]
  F --> G{Next stage}
  G --> H[Ransomware]
  G --> I[Info-stealer]
  G --> J[Cobalt Strike beacon]