wirus dropper

Wirus dropper to program dostarczający i uruchamiający właściwy szkodliwy ładunek na zainfekowanym urządzeniu.

Jak działa wirus dropper

Wirus dropper to szkodliwy program, którego głównym zadaniem jest dostarczenie na urządzenie innego komponentu złośliwego oprogramowania i uruchomienie go. Dropper może zawierać właściwy ładunek we własnym pliku albo pobierać go dopiero po uruchomieniu z innego miejsca. Sam dropper bywa krótkotrwały: wykonuje przygotowane operacje, zapisuje dodatkowy plik, uruchamia go, a następnie może próbować usunąć własne ślady. Dlatego określenie „dropper” opisuje przede wszystkim funkcję programu w łańcuchu infekcji, a nie jedną konkretną rodzinę wirusów.

Dostarczonym ładunkiem może być między innymi trojan, program szpiegujący, ransomware, narzędzie zdalnego dostępu albo komponent kradnący dane uwierzytelniające. Dropper może również instalować kilka różnych modułów, zależnie od wersji systemu, uprawnień użytkownika lub informacji uzyskanych z serwera sterującego. W praktyce oznacza to, że wykrycie jednego podejrzanego pliku nie zawsze kończy analizę, ponieważ kolejne elementy infekcji mogą znajdować się w innych katalogach, procesach lub mechanizmach automatycznego uruchamiania.

Dostarczanie ładunku i uruchamianie komponentów

Dropper często trafia na laptop lub komputer jako załącznik pocztowy, plik pobrany z niepewnego źródła, zmodyfikowany instalator albo dokument wykorzystujący podatność programu. Czasami plik ma rozszerzenie sugerujące dokument, archiwum lub obraz, lecz po otwarciu uruchamia kod wykonywalny. Innym sposobem jest nakłonienie użytkownika do zezwolenia na wykonanie makra, skryptu lub programu. Samo rozszerzenie pliku nie stanowi jednak pełnego dowodu jego rodzaju, ponieważ nazwa może zostać zmieniona, a system może ukrywać rozszerzenia znanych typów.

Po uruchomieniu dropper może rozpakować zaszyfrowany lub skompresowany ładunek do katalogu tymczasowego, utworzyć nowy proces i przekazać mu parametry startowe. Może też sprawdzać, czy działa na zwykłym komputerze, czy w środowisku analitycznym, oraz czy użytkownik ma uprawnienia administratora. Do zapisu w systemie mogą być wykorzystywane katalogi profilu użytkownika, dane aplikacji lub katalog tymczasowy. Trwałość infekcji może być zapewniana przez wpisy automatycznego uruchamiania, zadania harmonogramu, usługi albo skróty wskazujące na zmieniony plik. Konkretne mechanizmy zależą od systemu operacyjnego i możliwości uzyskanych przez szkodliwy kod.

Ślady infekcji i bezpieczna analiza

Objawy obecności droppera nie zawsze są jednoznaczne. Możliwe są nagłe spowolnienia, nieznane procesy, samoczynne uruchamianie programów, zmiany w przeglądarce, nietypowy ruch sieciowy albo pojawienie się plików o losowych nazwach. Brak widocznych objawów również nie potwierdza bezpieczeństwa, ponieważ dropper może działać tylko przez krótki czas, a właściwy ładunek może ograniczać aktywność do określonych warunków. Ocenę należy opierać na kilku źródłach informacji: historii uruchamiania, logach zabezpieczeń, lokalizacji plików, podpisach cyfrowych, relacjach między procesami oraz połączeniach sieciowych.

Nie należy otwierać podejrzanego pliku w celu sprawdzenia, co zrobi. Wstępna analiza może obejmować odłączenie urządzenia od sieci, zachowanie informacji o nazwie i lokalizacji pliku oraz wykonanie skanowania aktualnym programem ochronnym. Usunięcie pojedynczego pliku może nie wystarczyć, jeśli dropper zdążył uruchomić dodatkowy moduł lub utworzyć mechanizm ponownego startu. Przy podejrzeniu ransomware albo kradzieży haseł warto ograniczyć korzystanie z zainfekowanego urządzenia, ponieważ dalsze logowanie do usług może ujawnić kolejne dane. Wynik skanowania powinien być interpretowany razem z zachowaniem systemu, a nie jako jedyna podstawa wniosku.

Postępowanie po wykryciu droppera

Diagnostyka powinna ustalić, czy wykryty plik jest rzeczywistym dropperem, jaki ładunek został dostarczony i czy infekcja pozostawiła elementy uruchamiane przy każdym starcie systemu. Istotne jest sprawdzenie procesów potomnych, lokalizacji utworzonych plików, wpisów autostartu oraz zmian w ustawieniach zabezpieczeń. Jeżeli złośliwy program uzyskał podwyższone uprawnienia, zakres kontroli musi obejmować również konta użytkowników, reguły zapory i inne ustawienia systemowe. Po oczyszczeniu urządzenia należy zweryfikować działanie systemu oraz zmienić hasła z użyciem bezpiecznego urządzenia, szczególnie gdy ładunek mógł przechwytywać dane logowania.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów stacjonarnych PC, w tym diagnostyką problemów związanych z działaniem szkodliwego oprogramowania. Zakres czynności powinien wynikać z ustaleń diagnostycznych: od identyfikacji podejrzanych plików i procesów po sprawdzenie, czy po usunięciu droppera system uruchamia się prawidłowo i nie odtwarza infekcji. W przypadku podejrzenia szyfrowania danych lub ich usunięcia szczególne znaczenie ma ograniczenie dalszych operacji na dysku, ponieważ nowe zapisy mogą utrudnić późniejszą analizę i odzyskanie dostępnych informacji.