LegionLoader è il nome dato a un payload malware identificato in una catena di distribuzione segnalata. Un payload è il software dannoso distribuito a un sistema; il termine, di per sé, non identifica come sia stato distribuito né quali azioni svolga. Nel contesto segnalato, i ricercatori hanno associato LegionLoader all'infrastruttura ROMULUS e a un eseguibile insolitamente grande, ma i dettagli disponibili non dimostrano che sia stato aggirato uno specifico scanner né che le vittime siano state compromesse.
Per chi si occupa di difesa, il nome è un indicatore utile da approfondire, non una prova di infezione. Esaminate i file sospetti in un ambiente di analisi controllato e verificate se gli strumenti di sicurezza ispezionano completamente gli eseguibili di dimensioni eccessive o se invece rinviano, limitano o saltano l'analisi. Correlate la provenienza e le dimensioni dei file con l'attività degli utenti, l'esecuzione dei processi e le connessioni di rete. Questo aiuta a distinguere un tentativo di distribuzione sospetto da un'esecuzione confermata e impedisce che le anomalie nelle dimensioni dei file diventino punti ciechi.