dropper

Dropper to komponent złośliwego oprogramowania (malware), którego jedynym zadaniem jest umieszczenie w systemie właściwego złośliwego kodu. Europol opisuje droppery jako oprogramowanie zaprojektowane do instalowania innego złośliwego oprogramowania w systemie docelowym, używane w pierwszej fazie ataku ^[1]. Sam dropper zwykle nie wyrządza bezpośrednich szkód, ale otwiera drogę programom, które je wyrządzają ^[1]. Klasycznie przenosi ładunek (payload) wewnątrz siebie; w polskim uzusie tą samą nazwą obejmuje się też komponent, który ładunek dopiero pobiera z sieci, jak w analizach CERT Polska ^[2].

Jak działa

Europol dzieli pracę droppera na cztery fazy ^[1]. Najpierw dropper trafia do systemu: przez załącznik poczty, przejętą stronę albo w pakiecie z legalnym programem. Po uruchomieniu instaluje dodatkowe złośliwe oprogramowanie, zwykle bez wiedzy użytkownika. Przez cały czas stara się uniknąć wykrycia, na przykład przez zaciemnianie kodu, działanie w pamięci bez zapisu na dysk albo podszywanie się pod procesy legalnych programów. Na końcu pozostaje nieaktywny albo usuwa się, zostawiając ładunek do wykonania właściwej pracy ^[1].

RYS. 1Fazy działania droppera

Ładunek może być ukryty w samym pliku droppera. MITRE opisuje osadzanie ładunków w innych plikach jako sposób ukrywania złośliwej treści przed zabezpieczeniami ^[4]. Wśród przykładów podaje Dtrack, który używał droppera z zaszyfrowanym ładunkiem dołączonym jako dodatkowe dane, oraz Emotet, który zapisywał osadzony plik wykonywalny w katalogu tymczasowym jako %Temp%\setup.exe ^[4].

Dropper pobierający ładunek korzysta z techniki, którą MITRE nazywa sprowadzaniem narzędzi: przeniesieniem plików z systemu kontrolowanego przez przeciwnika do przejętego środowiska, przez kanał dowodzenia albo inny protokół ^[5]. Kanałem dowodzenia jest serwer C2 (command and control).

Odmiany

Granica między dropperem a pokrewnymi komponentami jest płynna. CERT Polska zauważył, że Smoke Loader ma kilka funkcji, które czynią go bardziej trojanem niż zwykłym dropperem ^[3]. Ten sam Smoke Loader Europol opisał jako program używany głównie do pobierania dodatkowego złośliwego oprogramowania ^[1].

Dropper trwały zaciera różnicę z botnetem: zamiast jednorazowej dostawy utrzymuje dostęp i może instalować kolejne rodziny, gdy operator zmieni ofertę.

W WordPressie

Na stronie WordPress dropper występuje w dwóch rolach. Pierwsza to przejęta strona jako kanał dystrybucji. Europol wymienia przejęte witryny obok załączników poczty jako jedną z dróg, którymi droppery trafiają do systemów ^[1], a Bumblebee był rozprowadzany głównie przez kampanie phishingowe albo przejęte strony ^[1]. Właściciel takiej strony nie jest wtedy celem, tylko narzędziem ataku na odwiedzających, zob. drive-by download.

Druga rola to dropper działający na samym serwerze. W tej roli kod, który dostał się przez podatność albo zainfekowaną wtyczkę, zapisuje na dysku kolejne pliki: webshella, tylną furtkę (backdoor) albo moduły SEO spamu. W grudniu 2017 roku Sekurak opisał wtyczkę Captcha z około 300 000 instalacji, której aktualizacja pobierała plik z zewnętrznej domeny nowego właściciela ^[6]. Zainstalowany kod tworzył sesję użytkownika o identyfikatorze 1, czyli domyślnego administratora, ustawiał ciasteczka uwierzytelniające i usuwał się ^[6]. Takie przejęcie wtyczki przez nowego właściciela jest odmianą ataku na łańcuch dostaw.

Dropper na serwerze tłumaczy, dlaczego infekcja wraca po pobieżnym sprzątaniu. Dokumentacja WordPressa ostrzega, że instalatory w panelu często tylko nadpisują istniejące pliki, a włamania zwykle dodają nowe; zaleca więc wymianę katalogów /wp-admin i /wp-includes przez FTP lub SFTP ^[7]. CERT Polska zwraca uwagę, że atakujący zapewniają sobie stały dostęp przez cyklicznie wykonywane zadania i dopisywanie kluczy SSH ^[8]. Zadanie harmonogramu, które co godzinę odtwarza usunięty plik, działa jak dropper.

Zagrożenia i skutki

Znaczenie droppera wynika z tego, co instaluje. Europol podał, że rodziny objęte operacją Endgame służyły do ataków z użyciem ransomware i innego złośliwego oprogramowania, a wszystkie są wykorzystywane do wdrażania ransomware ^[1].

• Instalacja trojanów bankowych: Ostap dostarczał KBot, ISFB, później Nymaim i Backswap ^[2].
• Instalacja oprogramowania szpiegującego i ransomware ^[1].
• Sprzedaż dostępu innym przestępcom, zob. broker początkowego dostępu i malware-as-a-service (MaaS).
• Na stronie WordPress: nieautoryzowane konta administratora, przekierowania i wpis na czarną listę.

Jak się bronić

• Na stronie: po infekcji zmienić wszystkie hasła i klucze, do których atakujący mógł mieć dostęp ^[8], a hasła zmienić ponownie po oczyszczeniu ^[7].
• Wymieniać pliki rdzenia z czystej kopii zamiast nakładać je instalatorem ^[7], a w wp-content przeglądać nowe pliki; pomaga monitorowanie integralności plików.
• Przeglądać zadania harmonogramu i klucze SSH na koncie hostingu ^[8].
• Aktualizować rdzeń, wtyczki, motywy i oprogramowanie serwera ^[8]; nie instalować pirackich wtyczek.
• Na stacjach roboczych: nie otwierać nieoczekiwanych załączników, bo to główna droga droppera ^[1]; skanować komputer, z którego loguje się administrator, bo dokumentacja WordPressa wskazuje lokalne trojany jako częste źródło kradzieży haseł FTP i do panelu ^[7].

Analiza dropperów wymaga piaskownicy, ale droppery się przed nią bronią. Ostap w wersji z 2018 roku nie uruchamiał się w Windows XP i sprawdzał długość listy procesów, by odróżnić środowisko analityczne od komputera ofiary ^[2].

Historia i przykłady

Ostap. CERT Polska 1 czerwca 2018 roku opisał Ostapa, często spotykanego w Polsce w kampaniach z fałszywymi fakturami ^[2]. Załącznik miał rozszerzenie RAR, choć archiwum było w formacie ACE; w środku leżał plik JSE, czyli zakodowany skrypt JScript ^[2]. Wczesna wersja wyświetlała komunikat o uszkodzonym dokumencie, dodawała się do autostartu, próbowała pobrać i uruchomić plik EXE, ponawiając próbę co 80 sekund, a po instalacji usuwała się z autostartu ^[2]. Od wersji z 2017 roku Ostap nie dezaktywował się już po instalacji i pozostawał w botnecie dystrybucyjnym ^[2].

Operacja Endgame. Między 27 a 29 maja 2024 roku akcja koordynowana z siedziby Europolu objęła droppery IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee i Trickbot ^[1]. Zatrzymano 4 osoby, wyłączono lub zakłócono ponad 100 serwerów, a ponad 2000 domen przeszło pod kontrolę organów ścigania ^[1]. Według Europolu jeden z głównych podejrzanych zarobił co najmniej 69 mln euro w kryptowalutach na wynajmie infrastruktury do wdrażania ransomware ^[1].