QuirkyLoader
QuirkyLoader es un nuevo cargador de malware que ha sido utilizado por actores maliciosos desde finales de 2024 en campañas de spam por correo electrónico, con el objetivo de distribuir una amplia variedad de amenazas como Agent Tesla, AsyncRAT, Formbook, Remcos RAT, Rhadamanthys Stealer y Snake Keylogger. El ataque inicia con un archivo comprimido malicioso enviado a la víctima, el cual contiene un ejecutable legítimo, una DLL manipulada y un payload cifrado. El truco consiste en aplicar DLL side-loading, lo que permite que, al ejecutarse el archivo legítimo, se cargue también la DLL maliciosa que desencripta e inyecta el malware final en procesos del sistema mediante process hollowing.
Las investigaciones de IBM X-Force identificaron que QuirkyLoader ha sido empleado en campañas limitadas, destacándose dos en julio de 2025: una dirigida a empleados de Nusoft Taiwan, empresa de seguridad de redes, con la intención de instalar Snake Keylogger y robar datos sensibles; y otra en México con carácter más aleatorio, en la que se distribuyeron Remcos RAT y AsyncRAT. Una característica llamativa es que el cargador está escrito en .NET con compilación AOT (Ahead-of-Time), lo que hace que los binarios resultantes se camuflen como si fueran programas nativos en C o C++, dificultando su detección.
El uso de QuirkyLoader refleja una tendencia creciente en la sofisticación de los ataques basados en correo electrónico, que se complementa con nuevas técnicas como el phishing con códigos QR (quishing), donde los atacantes dividen o insertan códigos maliciosos en otros legítimos para evadir filtros de seguridad. Estas tácticas, junto con el empleo de kits de phishing avanzados como los utilizados por el grupo PoisonSeed para robar credenciales y códigos 2FA, muestran cómo los actores de amenazas están innovando constantemente para evadir defensas tradicionales y maximizar el impacto de sus campañas.
Funcionamiento
QuirkyLoader es un malware loader desarrollado en .NET con compilación ahead-of-time (AOT), cuyo objetivo principal es servir como primera etapa en una cadena de infección para desplegar otros tipos de malware más avanzados, como ladrones de información (Snake Keylogger, Formbook, Rhadamanthys Stealer) y troyanos de acceso remoto (AsyncRAT, Remcos RAT, Agent Tesla). Su diseño combina múltiples técnicas de evasión y de inyección de código, lo que lo convierte en una amenaza eficiente y difícil de detectar para los sistemas de defensa convencionales.
El ciclo de infección comienza en campañas de correo electrónico de tipo spam, que utilizan tanto servidores legítimos de proveedores de correo como servidores controlados directamente por los atacantes. Los mensajes contienen un archivo comprimido malicioso (generalmente en formato .zip o .rar), en cuyo interior se incluyen tres componentes:
- Un ejecutable legítimo (por ejemplo,
InstallUtil.exeoaspnet_wp.exe), que actúa como señuelo. - Una librería DLL maliciosa, responsable de la carga del payload.
- Un payload cifrado, que contiene la carga maliciosa real (RAT, keylogger o stealer).
La infección se inicia cuando el usuario ejecuta el archivo legítimo. A través de la técnica de DLL side-loading, el ejecutable carga automáticamente la DLL maliciosa incluida en el mismo directorio. Esta DLL contiene rutinas específicas que permiten desencriptar el payload cifrado y posteriormente utilizar técnicas de inyección en memoria. Para ello, QuirkyLoader aplica process hollowing, que consiste en crear o secuestrar procesos legítimos del sistema (como AddInProcess32.exe, InstallUtil.exe o aspnet_wp.exe), vaciar su memoria e inyectar allí el código malicioso desencriptado. De esta forma, el malware logra ejecutarse dentro de un proceso confiable y evita ser detectado fácilmente por antivirus o herramientas de monitoreo.
Un aspecto técnico destacado es el uso de compilación AOT en .NET, lo que transforma el código administrado en binarios de máquina nativos antes de su ejecución. Esto genera que el loader se camufle como si estuviera escrito en C o C++, dificultando los procesos de ingeniería inversa y el análisis estático. Asimismo, la carga dinámica de DLL y la ejecución en memoria del payload reducen la huella en disco, complicando aún más su detección. QuirkyLoader, en esencia, no solo actúa como un intermediario entre el usuario y el malware final, sino que incorpora varias técnicas avanzadas de persistencia, evasión y ejecución encubierta, convirtiéndolo en una herramienta altamente eficaz dentro del ecosistema de amenazas distribuidas por campañas de phishing y spam masivo.
Impacto y consecuencias
El impacto y las consecuencias de QuirkyLoader deben entenderse en varias dimensiones: técnica, operativa y estratégica. Al tratarse de un loader especializado, su función principal no es causar daño directo al sistema en la primera etapa, sino garantizar que cargas útiles más avanzadas se ejecuten en condiciones óptimas de sigilo y persistencia. Sin embargo, este rol inicial es crítico, porque es el eslabón que habilita la instalación de múltiples familias de malware con fines muy diversos.
1. Impacto Técnico
Desde un punto de vista técnico, QuirkyLoader permite la ejecución encubierta de malware mediante técnicas de DLL side-loading y process hollowing, lo cual reduce significativamente la probabilidad de detección por soluciones de seguridad basadas en firmas o en monitoreo de procesos. Al inyectar payloads en procesos legítimos del sistema (AddInProcess32.exe, InstallUtil.exe, aspnet_wp.exe), el loader garantiza que la actividad maliciosa herede privilegios y credenciales de confianza. Esto no solo complica la detección, sino que también puede elevar el nivel de privilegios del malware final si los procesos inyectados tienen permisos administrativos.
La consecuencia inmediata es la capacidad de desplegar stealers, keyloggers y RATs que operan de forma persistente. Malware como Snake Keylogger o Rhadamanthys Stealer puede exfiltrar credenciales, cookies, historial de navegación, capturas del portapapeles y pulsaciones de teclado; mientras que AsyncRAT o Remcos RAT otorgan control remoto completo sobre el dispositivo comprometido, incluyendo ejecución de comandos, acceso a archivos, vigilancia mediante cámara y micrófono, y manipulación de configuraciones del sistema. Esto convierte al host infectado en un punto de entrada para operaciones de espionaje, robo de información sensible o preparación de ataques posteriores, como movimientos laterales dentro de una red corporativa.
2. Impacto Operativo
A nivel operativo, la instalación de malware a través de QuirkyLoader puede alterar la integridad, disponibilidad y confidencialidad de los sistemas y datos corporativos. El robo de credenciales facilita accesos no autorizados a sistemas críticos, VPNs, aplicaciones en la nube o correos electrónicos corporativos, lo que puede desencadenar ataques de compromiso de cuentas (Account Takeover) y permitir el movimiento lateral dentro de infraestructuras empresariales. Además, los RAT distribuidos pueden transformar los dispositivos comprometidos en nodos para ataques persistentes de espionaje, sabotaje o incluso para formar parte de botnets que realicen campañas DDoS o spam masivo.
Otra consecuencia es el riesgo de exfiltración masiva de datos confidenciales, lo que podría derivar en filtraciones de propiedad intelectual, fuga de información sensible de clientes o empleados y exposición de credenciales que, al filtrarse en mercados clandestinos, pueden ser reutilizadas en ataques posteriores. Dado que las campañas observadas han tenido blancos específicos (ejemplo: empleados de Nusoft Taiwan), existe un componente de ataques dirigidos (APT-like), lo que sugiere que QuirkyLoader puede ser instrumental en operaciones de espionaje focalizadas contra sectores de interés estratégico.
3. Impacto Estratégico y Consecuencias
En el plano estratégico, QuirkyLoader incrementa la superficie de ataque global al facilitar la distribución de malware modular y adaptable a diferentes objetivos. Su uso en campañas en México y Taiwán evidencia tanto escenarios aleatorios como operaciones dirigidas contra organizaciones clave, lo que significa que puede utilizarse tanto en ataques de cibercrimen financiero como en contextos de ciberespionaje geopolítico.
Las consecuencias más severas incluyen:
- Compromiso de la cadena de confianza digital: procesos legítimos se convierten en vehículos de malware, minando la efectividad de las defensas tradicionales.
- Daños económicos derivados del robo de datos financieros, interrupción de operaciones o sanciones por incumplimiento normativo (ejemplo: GDPR, HIPAA).
- Impacto reputacional en organizaciones cuyos empleados son comprometidos, al exponerse como vectores de ataque hacia terceros.
- Escalamiento de amenazas persistentes: dado que QuirkyLoader facilita la entrada de RATs, el atacante puede mantener acceso prolongado y difícil de erradicar en redes corporativas.
En conjunto, QuirkyLoader no es solo un loader, sino un facilitador de ataques de múltiples etapas que puede convertir una infección inicial aparentemente menor en una intrusión prolongada y devastadora para empresas, instituciones y usuarios individuales.
Origen y motivación
QuirkyLoader tuvo su origen a finales de 2024 como un loader desarrollado en .NET con compilación AOT, diseñado por actores de amenazas para facilitar la distribución de malware en campañas de correo electrónico malicioso; su motivación principal radica en maximizar la eficacia de las infecciones mediante técnicas avanzadas de evasión y ejecución encubierta, permitiendo desplegar keyloggers, stealers y troyanos de acceso remoto con fines de espionaje, robo de credenciales, exfiltración de información sensible y control remoto de sistemas comprometidos, lo que lo convierte en una herramienta adaptable tanto para cibercrimen financiero como para operaciones de ciberespionaje dirigidas.