Loader-as-a-Service (LaaS) è un modello di business criminale che affitta infrastrutture per la distribuzione di malware. Invece di costruire ogni strumento da zero, un operatore può acquistare l'accesso a un loader preconfezionato, hosting, una catena di redirect o un servizio di esecuzione che aiuta a consegnare malware di seconda fase su un sistema vittima.
LaaS è importante perché riduce le competenze e i costi necessari per condurre attacchi, rendendo al contempo le campagne più facili da scalare e sostituire. In pratica, viene spesso usato per distribuire stealer, ransomware, RAT o altri payload dopo un'esca iniziale, un messaggio di phishing o una fase di social engineering. I difensori possono osservare modelli di distribuzione ripetitivi, infrastrutture condivise o comportamenti comuni del loader in incidenti non correlati. Individuare l'attività LaaS di solito significa monitorare l'esecuzione iniziale, attività insolite di script o della riga di comando e connessioni di rete successive, invece di concentrarsi solo sul payload finale.