Un loader pay-per-install è un componente di distribuzione usato nelle catene di malware criminali per collocare payload aggiuntivi su un sistema compromesso. Invece di essere il malware finale, il loader agisce come installatore o dropper: contatta un server controllato dall'operatore, recupera il file della fase successiva e lo avvia con i permessi corretti e i passaggi di persistenza necessari.
Questo è importante perché il loader trasforma l'infezione in un modello di business. I criminali possono vendere installazioni ad altri operatori, riutilizzare lo stesso punto d'appoggio per payload diversi e sostituire i moduli per furto, mining, proxy o accesso remoto. Spesso i difensori individuano per primi il loader attraverso comportamenti come manomissione di Defender, injection di processi, processi figli insoliti o download imprevisti da un binario dall'aspetto affidabile. Bloccare la fase del loader con controllo delle applicazioni, protezione contro la manomissione e isolamento rapido può impedire l'esecuzione dei payload successivi.