wirus typu dropper

Wirus typu dropper w pierwszym etapie infekcji pobiera i uruchamia właściwe szkodliwe oprogramowanie.

Jak działa dropper w pierwszej fazie infekcji

Wirus typu dropper to złośliwy program, którego głównym zadaniem jest dostarczenie do systemu innego komponentu malware. Sam dropper może zawierać właściwy ładunek we własnych zasobach, pobierać go z serwera sterującego albo odczytywać z pliku utworzonego wcześniej na komputerze. Po uruchomieniu wykonuje czynności przygotowujące infekcję: sprawdza środowisko, zapisuje dane na dysku lub w pamięci, a następnie uruchamia kolejny program. Tym kolejnym komponentem może być trojan zdalnego dostępu, program kradnący hasła, ransomware, keylogger albo moduł służący do dalszego pobierania plików.

Dropper często próbuje ukryć swoją aktywność przed użytkownikiem i oprogramowaniem ochronnym. Może wykorzystywać dokument z makrami, spreparowany instalator, załącznik poczty elektronicznej, fałszywą aktualizację lub skrypt uruchamiany przez użytkownika. Nie każdy dropper jest wirusem w ścisłym znaczeniu, ponieważ część takich programów nie rozmnaża się samodzielnie przez zarażanie innych plików. W praktyce określenie „wirus typu dropper” bywa używane szerzej, jako nazwa złośliwego programu pełniącego funkcję dostarczyciela ładunku.

Pobieranie, rozpakowanie i uruchomienie ładunku

Po aktywacji dropper może nawiązać połączenie sieciowe i pobrać ładunek z określonego adresu. Do komunikacji może wykorzystywać zwykłe protokoły używane przez aplikacje, na przykład HTTPS, dzięki czemu ruch trudniej odróżnić od normalnego korzystania z internetu. Sam fakt użycia szyfrowanego połączenia nie oznacza, że pobierany plik jest bezpieczny. Dropper może również korzystać z adresów zapisanych w konfiguracji, przekierowań, usług przechowywania plików lub kolejnych domen zmienianych przez operatora kampanii.

Ładunek nie zawsze jest od razu widoczny jako osobny plik wykonywalny. Program może być skompresowany, zaszyfrowany lub zakodowany w zasobach droppera, a następnie rozpakowany dopiero podczas działania. Czasem kod jest ładowany bezpośrednio do pamięci procesu, co ogranicza liczbę śladów pozostawianych na dysku. Inne warianty zapisują plik w katalogu tymczasowym użytkownika, w profilu aplikacji albo w innym miejscu, do którego bieżący proces ma prawo zapisu. Mechanizm ten utrudnia analizę, ale nie usuwa artefaktów takich jak historia procesów, zdarzenia systemowe, połączenia sieciowe czy wpisy autostartu.

Przed uruchomieniem właściwego malware dropper może sprawdzać nazwę komputera, język systemu, obecność narzędzi analitycznych lub działanie środowiska wirtualnego. Takie testy mają opóźnić wykonanie ładunku albo zakończyć działanie, gdy program uzna, że jest obserwowany. Nie jest to jednak niezawodna ochrona. Zabezpieczenia mogą wykryć podejrzane zachowanie na podstawie sekwencji operacji, reputacji pliku, podpisu cyfrowego, nietypowych zmian w systemie i komunikacji z infrastrukturą atakującego.

Objawy i ślady pozostawiane w systemie

Objawy infekcji zależą przede wszystkim od uruchomionego ładunku, a nie od samego droppera. Możliwe są nagłe spowolnienia, nieznane procesy, wysoki ruch sieciowy, pojawianie się nowych plików, zmiana ustawień przeglądarki, blokowanie narzędzi administracyjnych lub wyłączenie funkcji ochronnych. W przypadku ransomware użytkownik może zauważyć niedostępność dokumentów i zmianę ich nazw. Przy programie kradnącym dane sygnałem ostrzegawczym mogą być nieoczekiwane logowania do kont, resetowanie haseł lub komunikaty o aktywności, której użytkownik nie wykonywał.

Analiza powinna obejmować źródło uruchomienia, datę utworzenia i modyfikacji plików, procesy potomne, zadania zaplanowane, elementy autostartu oraz połączenia wychodzące. Przydatne są dzienniki systemowe, historia ochrony antywirusowej i informacje z zapory sieciowej. Nie należy usuwać losowych plików na podstawie samej nazwy, ponieważ może to uszkodzić system albo pozostawić aktywny komponent. Bezpieczniejsze jest odłączenie komputera od sieci, zapisanie istotnych informacji o objawach i wykonanie skanowania z zaufanego środowiska.

Postępowanie po wykryciu droppera

Jeżeli program ochronny zgłosi droppera, nie powinno się zezwalać na jego uruchomienie ani przywracać go z kwarantanny bez potwierdzenia, że jest to fałszywe wykrycie. Warto przeprowadzić pełne skanowanie, sprawdzić inne elementy autostartu i zweryfikować, czy połączenia sieciowe nie są nadal aktywne. Samo usunięcie pliku może nie wystarczyć, ponieważ dropper mógł wcześniej uruchomić drugi proces, utworzyć zadanie zaplanowane lub zmienić konfigurację systemu. Po potwierdzonej infekcji należy zmienić hasła z niezainfekowanego urządzenia, szczególnie wtedy, gdy ładunek mógł przechwytywać dane logowania.

W przypadku zaszyfrowania plików, utraty dostępu do kont albo powtarzających się infekcji potrzebna jest diagnostyka obejmująca system, dysk i kopie zapasowe. Przydatne może być odtworzenie systemu z czystego nośnika, ale przed takim krokiem trzeba ustalić, które dane są bezpieczne do skopiowania. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, w tym diagnostyką skutków infekcji oraz sprawdzeniem działania systemu po usunięciu złośliwego oprogramowania.