Дроппер (dropper) — вредоносная программа, единственная задача которой — незаметно установить на устройство жертвы другую вредоносную программу, полезную нагрузку, которую дроппер несёт внутри себя.
Как работает дроппер
Дроппер обычно маскируется под что-то безобидное: вложение в письме, взломанную игру, поддельный счёт или полезную утилиту. После запуска он распаковывает или расшифровывает встроенную полезную нагрузку, записывает её на диск или внедряет в память и запускает. Многие дропперы затем удаляют себя, чтобы замести следы. Дропперы активно используют упаковщики, шифрование и проверки против анализа: могут не распаковываться внутри виртуальной машины или песочницы либо выжидать несколько часов перед действием.
Отличие от загрузчика вредоносного ПО тонкое, и термины часто путают: дроппер несёт нагрузку с собой, а загрузчик (downloader) скачивает её с удалённого сервера.
Почему дропперы опасны
- Мобильные банковские вредоносы — исследователи не раз находили в Google Play дроппер-приложения под видом PDF-читалок, QR-сканеров и файловых менеджеров. Они проходили проверку магазина, потому что выглядели чистыми, а после фальшивого «обновления» устанавливали банковские трояны вроде Anatsa (TeaBot).
- Многоступенчатые атаки — дроппер делает первую стадию маленькой и чистой, поэтому защитным средствам почти не на что реагировать, а настоящая нагрузка — троян, инфостилер или шифровальщик — появляется позже.
- Гибкость — преступники могут менять нагрузку, не меняя цепочку доставки.
Как защититься от дропперов
- Устанавливать приложения только из официальных магазинов и проверять разрешения, особенно запрос на установку других приложений.
- Не запускать вложения и взломанные программы из неизвестных источников.
- Использовать защиту конечных точек с поведенческим детектированием, которая замечает, когда процесс записывает и запускает исполняемые файлы.
- Блокировать запуск программ из временных папок и папки загрузок с помощью контроля приложений.
