☕️ CoffeeLoader — новый уровень скрытности вредоносных загрузчиков

Zscaler ThreatLabz выявили новый скрытный загрузчик CoffeeLoader — крайне изощрённый, который умеет прятаться от антивирусов даже на уровне GPU.

Работа через видеокарту – использует упаковщик Armoury, который выполняет часть кода на GPU, что резко усложняет детектирование в песочницах.
Обфускация "на лету" – код остаётся зашифрованным до момента выполнения, плюс манипуляции с потоками (fibers) для усложнения анализа.
Подмена стека вызовов – имитирует "чистую" работу, сбивая с толку системы мониторинга.

Раньше выполнение вредоносного кода на GPU было экзотикой, но теперь это рабочий инструмент в арсенале злоумышленников. Уже зафиксированы случаи доставки через CoffeeLoader Rhadamanthys — мощного инфостилера.

🔴 Атаки становятся сложнее, а защита не успевает адаптироваться. Традиционные антивирусы, полагающиеся на сигнатурный анализ, здесь почти бесполезны. Нужен поведенческий мониторинг, анализ аномалий в работе GPU и усиленная защита на уровне памяти.

Что делать?
✔️ EDR/XDR-решения – они лучше ловят сложные атаки.
✔️ Аппаратная изоляция критичных процессов (например, через VBS).
✔️ Патчим всё – многие техники (вроде fibers) требуют уязвимостей в ОС.

Подробнее: https://extrim-security.ru/news-ib/tpost/lh1y446hv1-opasnii-zagruzchik-coffeeloader-kak-on-o