Un loader prepara o ejecuta otra carga maliciosa. A veces la descarga de Internet; otras veces la lleva dentro de un archivo o la obtiene de una fase anterior. La primera detección puede ser solo la entrada a una cadena con varias amenazas.
Qué significa y qué conviene distinguir
Downloader pone el foco en la descarga; dropper suele referirse al componente que deja otra carga en el equipo. Loader describe la función de cargarla o ejecutarla. En la práctica los nombres se solapan y una familia puede hacer más de una cosa.
El proceso, paso a paso
- Llega una primera carga
- Se obtiene o prepara el payload
- Se ejecuta otra amenaza con un objetivo distinto
Qué puede hacer
- Preparar el entorno: Recoger información necesaria para decidir qué carga entregar.
- Entregar payloads: Introducir un stealer, un RAT u otro componente.
- Cambiar la cadena: La carga de hoy puede ser distinta de la distribuida en otra campaña.
Cómo llega al dispositivo
Se han documentado cadenas con instaladores falsos, adjuntos, archivos comprimidos y scripts presentados como pasos de reparación. No todos los loaders usan el mismo formato ni tienen capacidad de movimiento lateral. Tampoco todo loader es necesariamente un RAT.
Familias y comportamientos
GuLoader, Smoke Loader y familias que combinan descarga con otras funciones aparecen en investigaciones de esta categoría. La secuencia de ejecución permite distinguir el componente inicial de la carga que llegó después.
Cómo investigarlo sin adivinar
La relación entre el archivo de entrada, sus procesos hijos y conexiones es más útil que un nombre aislado. En casa, conservá el informe y realizá un análisis completo; en una empresa, pedí revisar la cadena de ejecución en la telemetría del equipo.
Qué hacer si encontrás indicios
Después de poner en cuarentena un loader, comprobá si llegó a ejecutarse y si existen detecciones posteriores. No concluyas que “no robó nada” solo porque la alerta diga Downloader. Guardá la secuencia de horas, archivos y acciones del antivirus para investigar lo que vino después.
Un análisis actualizado ayuda a revisar el sistema. En la ficha de Malwarebytes (Win) diferenciamos análisis bajo demanda y protección continua. La VPN y los servicios de identidad tienen otro alcance: no eliminan por sí solos un proceso malicioso.
Si necesitás ayuda, contá el síntoma y adjuntá el informe revisado en ForoSpyware. Quitá datos personales; no compartas cookies, contraseñas, archivos de perfil ni un log completo sin revisar.
Malspam es correo masivo que distribuye archivos o enlaces maliciosos. Puede usar phishing para suplantar una marca; el malvertising aprovecha anuncios como vía de entrada. ClickFix es el engaño que te pide ejecutar una supuesta verificación o reparación: no pegues instrucciones de una web en Ejecutar, PowerShell o Terminal.
