Ein Dropper ist eine Malware, deren einzige Aufgabe darin besteht, ein weiteres Schadprogramm – die mitgeführte Nutzlast – unbemerkt auf dem Gerät des Opfers zu installieren.
Wie ein Dropper funktioniert
Ein Dropper tarnt sich meist als etwas Harmloses: als E-Mail-Anhang, gecracktes Spiel, gefälschte Rechnung oder nützliche App. Wird er gestartet, entpackt oder entschlüsselt er die eingebettete Payload, schreibt sie auf die Festplatte oder injiziert sie direkt in den Arbeitsspeicher und führt sie aus. Viele Dropper löschen sich anschließend selbst, um ihre Spuren zu verwischen. Dropper setzen stark auf Packer, Verschlüsselung und Anti-Analyse-Prüfungen: Sie entpacken sich etwa nicht in einer virtuellen Maschine oder Sandbox oder warten Stunden, bevor sie aktiv werden.
Der Unterschied zu einem Malware-Loader ist gering, und die Begriffe werden oft vermischt: Ein Dropper trägt die Nutzlast in sich, ein Loader oder Downloader lädt sie dagegen von einem entfernten Server nach.
Warum Dropper gefährlich sind
- Mobile Banking-Malware – Forschende haben bei Google Play immer wieder Dropper-Apps entdeckt, die sich als PDF-Reader, QR-Scanner oder Dateimanager ausgaben. Sie passierten die Prüfung des Stores, weil sie sauber wirkten, und installierten nach einem gefälschten „Update“ Banking-Trojaner wie Anatsa (TeaBot).
- Mehrstufige Angriffe – Dropper halten die erste Stufe klein und unauffällig, sodass Sicherheitswerkzeuge kaum etwas finden, während die eigentliche Nutzlast – ein Trojaner, Infostealer oder Ransomware – erst später erscheint.
- Flexibilität – Kriminelle können die Nutzlast austauschen, ohne die Verbreitungskette zu ändern.
Wie man sich vor Droppern schützt
- Apps nur aus offiziellen Stores installieren und Berechtigungen prüfen, besonders Anfragen zur Installation weiterer Apps.
- Keine Anhänge oder gecrackte Software aus unbekannten Quellen ausführen.
- Endpoint-Schutz mit Verhaltenserkennung nutzen, der Prozesse erkennt, die ausführbare Dateien schreiben und starten.
- Die Ausführung aus temporären und Download-Ordnern per Anwendungskontrolle blockieren.
