ドロッパー.

ドロッパーは、自身の内部に 1 つ以上のペイロードを埋め込んで運ぶ配送用コンポーネントであり、実行されるとそれらをディスクやメモリへ書き出します。ダウンローダとは異なり、次段のためにインターネットへ接続する必要がなく、悪意あるコードはドロッパー自身とともに運ばれます。ドロッパーは通常、最終的なマルウェア(情報窃取マルウェア、ランサムウェア、RAT)を起動する前に、アンチ解析チェック、デコイ(おとり)コンテンツ、永続化の設定、プロセスインジェクションのルーチンをひとまとめに備えています。

配送形式は防御側の対策に追随します。2022 年に Microsoft がインターネット由来のファイルに対して Office マクロを既定で無効化 したとき、Proofpoint は VBA/XL4 マクロの利用がおよそ 66% 減少したと計測しました。そして Qakbot、IcedID、Bumblebee といった攻撃グループは ISO/IMG コンテナと LNK ショートカット へと軸足を移しました。その仕掛けは Mark-of-the-Web(MOTW)のバイパスです。ダウンロードされたアーカイブには MOTW タグが付きますが、ISO や IMG から 展開された ファイルはそれを継承しないため、Windows は内部の文書や LNK をローカルで信頼済みのものとして扱います。この変更後、LNK を用いたキャンペーンは 1,600% 以上増加しました。署名済みインストーラやトロイの木馬化されたユーティリティも、ドロッパーの運搬手段として人気があります。

flowchart LR
  MAIL[フィッシングメール] --> CONT[ISO / IMG / 署名済みインストーラ]
  CONT -->|MOTW バイパス<br/>内部ファイルは未タグ| DROP[ドロッパー実行]
  DROP --> AA[アンチ解析 + デコイ]
  DROP --> EMB[埋め込みペイロード<br/>ディスク/メモリへ書き込み]
  EMB --> INJ[プロセスインジェクション]
  INJ --> FINAL[情報窃取 / ランサムウェア / RAT]
  DEF[防御] -. サンドボックス・許可リスト・ISOマウント遮断・EDR .-> DROP

対策には、メールおよび Web のフィルタリング、添付ファイルのサンドボックス化、アプリケーションの許可リスト、ふるまいベースの検知を備えた EDR、ISO/IMG の自動マウントの遮断、マクロの自動実行の無効化が含まれます。