Дропер (dropper) — шкідлива програма, єдине завдання якої — непомітно встановити на пристрій жертви іншу шкідливу програму, тобто корисне навантаження, яке дропер несе всередині себе.
Як працює дропер
Дропер зазвичай маскується під щось нешкідливе: вкладення в листі, зламану гру, підроблений рахунок чи корисну утиліту. Після запуску він розпаковує або розшифровує вбудоване корисне навантаження, записує його на диск чи впроваджує в пам’ять і запускає. Багато дроперів потім видаляють себе, щоб замести сліди. Дропери активно використовують пакувальники, шифрування та перевірки проти аналізу: можуть не розпаковуватися у віртуальній машині чи пісочниці або чекати кілька годин, перш ніж діяти.
Відмінність від завантажувача шкідливого ПЗ тонка, і ці терміни часто плутають: дропер несе навантаження із собою, а завантажувач (downloader) отримує його з віддаленого сервера.
Чому дропери небезпечні
- Мобільне банківське шкідливе ПЗ — дослідники неодноразово знаходили в Google Play дропер-застосунки, що видавали себе за PDF-читачі, QR-сканери чи файлові менеджери. Вони проходили перевірку магазину, бо виглядали чистими, а після фальшивого «оновлення» встановлювали банківські трояни, як-от Anatsa (TeaBot).
- Багатоетапні атаки — дропер робить першу стадію маленькою й чистою, тож засобам захисту майже нема на що реагувати, а справжнє навантаження — троян, інфостилер чи шифрувальник — з’являється пізніше.
- Гнучкість — злочинці можуть змінювати навантаження, не змінюючи ланцюжок доставки.
Як захиститися від дроперів
- Встановлювати застосунки лише з офіційних магазинів і перевіряти дозволи, особливо запит на встановлення інших застосунків.
- Не запускати вкладення та зламані програми з невідомих джерел.
- Використовувати захист кінцевих точок із поведінковим виявленням, який помічає, коли процес записує й запускає виконувані файли.
- Блокувати запуск програм із тимчасових папок і папки завантажень за допомогою контролю застосунків.
