Malware dropper: het onschuldig ogende pakketje dat de deur openzet voor cybercriminelen
Stel je een pakketbezorger voor die bij je aanbelt met een kleine, keurig verpakte doos. Er staat niets verdachts op, de bezorger ziet er normaal uit, en je tekent zonder nadenken voor ontvangst. Pas later blijkt dat die doos een dubbele bodem had: zodra hij binnen stond, gingen er onopvallend deuren en ramen in je huis open voor een groep die daarna ongestoord kon binnenkomen. Zo werkt een malware dropper ook ongeveer: een klein, vaak onschadelijk lijkend programma dat zelf weinig doet, maar wiens enige taak is om de eigenlijke schadelijke software binnen te smokkelen en te activeren.
Een dropper is dus niet de malware die je bestanden versleutelt, je wachtwoorden steelt of je apparaat in een botnet opneemt — dat werk doet de payload (de lading) die de dropper aflevert. De dropper zelf is meestal klein, simpel en zo gemaakt dat antivirussoftware er niet van schrikt. Precies daarom is het zo'n populair gereedschap in de gereedschapskist van cybercriminelen: het is de eerste, onopvallende stap in een aanval die uiteindelijk veel grotere schade kan aanrichten.
Wat is het precies?
Een aanval met een dropper verloopt meestal in duidelijk te onderscheiden stappen. De eerste stap is initiële toegang: het slachtoffer krijgt bijvoorbeeld een e-mail met een Word-bijlage over een 'factuur', klikt op een link in een advertentie, of downloadt een programma van een frauduleuze website die bovenaan in de zoekresultaten stond. Op dat moment komt de dropper op het apparaat terecht.
De tweede stap is uitvoering. Zodra het slachtoffer het bestand opent — vaak door een macro (een automatisch scriptje in een Office-document) in te schakelen, of door een bestand met dubbele extensie te openen dat eruitziet als een pdf maar eigenlijk een uitvoerbaar programma is — start de dropper zijn werk.
Vakmensen maken onderscheid tussen een dropper, een downloader en een loader. Een dropper heeft de eigenlijke schadelijke lading vaak al verstopt in zichzelf, bijvoorbeeld versleuteld tussen andere data, en hoeft dus niet per se verbinding te maken met internet om die lading te 'droppen' (neer te zetten) op de schijf. Een downloader daarentegen haalt de lading pas op van een server op het moment dat hij actief wordt. Een loader gaat nog een stap verder: die laadt de schadelijke code direct in het geheugen van een lopend, legitiem programma, zonder dat er ooit een kwaadaardig bestand op de harde schijf hoeft te staan. Dat laatste heet fileless malware, en het is voor beveiligingssoftware lastiger te detecteren omdat er geen verdacht bestand ligt om te scannen.
Om niet op te vallen gebruiken droppers allerlei trucs. Ze controleren bijvoorbeeld eerst of ze in een sandbox draaien — een afgeschermde testomgeving die onderzoekers gebruiken om malware veilig te analyseren — en doen zich dan onschuldig voor als ze dat detecteren. Ze versleutelen of verdraaien (obfusceren) hun eigen code zodat scanners geen bekend patroon herkennen. En ze maken vaak gebruik van zogeheten living-off-the-land-technieken: in plaats van eigen verdachte tools mee te brengen, misbruiken ze programma's die al standaard op elk Windows-apparaat staan, zoals PowerShell of het hulpprogramma 'mshta', om hun sporen te verbergen tussen normaal systeemverkeer.
Wat wil men ermee bereiken?
Het belangrijkste doel van een dropper is het opknippen van een aanval in kleine, onopvallende stapjes. Eén groot, alles-in-één schadelijk bestand valt sneller op bij beveiligingssoftware dan een klein, onschuldig ogend startprogrammaatje dat pas later, en het liefst via een tussenstap op internet, de echte lading binnenhaalt. Door de aanvalsketen te verdelen, wordt elke afzonderlijke schakel moeilijker te herkennen als kwaadaardig.
Er zit ook een verdienmodel achter. Criminele groepen hebben zich gespecialiseerd: sommigen bouwen en verspreiden alleen droppers en verkopen of verhuren de 'toegang' die ze daarmee tot besmette apparaten krijgen aan andere criminelen — een rol die in de beveiligingswereld bekendstaat als initial access broker (handelaar in eerste toegang). Ransomwaregroepen kopen die toegang vervolgens om hun eigen gijzelsoftware te installeren. Dit model, waarbij droppers als een soort dienst worden aangeboden, wordt ook wel dropper-as-a-service genoemd, naar analogie met legitieme cloud-diensten.
Voorbeelden uit de praktijk
Emotet is misschien wel de bekendste dropper uit de afgelopen jaren. Het begon in 2014 als een bankentrojan, maar groeide uit tot een van de grootste malware-verspreidingsplatforms ter wereld, dat via e-mailbijlagen met kwaadaardige macro's andere malware zoals TrickBot en uiteindelijk ransomwarefamilies als Ryuk aflevert. In januari 2021 werd de infrastructuur van Emotet uitgeschakeld tijdens een internationale politieoperatie, gecoördineerd door Europol en Eurojust, waarbij onder meer Nederlandse, Duitse, Amerikaanse, Britse en Oekraïense opsporingsdiensten betrokken waren. Eind 2021 dook Emotet opnieuw op, maar de activiteit bleef daarna beperkter dan voorheen.
TrickBot, ontstaan rond 2016 als bankentrojan, ontwikkelde zich tot een modulaire dropper en loader die onder meer de ransomwarefamilies Ryuk en Conti aflevert. In 2020 probeerden Microsoft en partners als ESET de infrastructuur te ontmantelen, mede uit zorg over mogelijke verstoring van de Amerikaanse verkiezingen. Later gelekte interne chatberichten lieten nauwe banden zien tussen de mensen achter TrickBot en de Conti-ransomwaregroep.
QakBot (ook wel Qbot genoemd), oorspronkelijk uit ongeveer 2007-2008 als bankentrojan, groeide eveneens uit tot dropper voor ransomware. In augustus 2023 zette de FBI, samen met internationale partners, de infrastructuur stil in een operatie die bekendstaat als 'Operation Duck Hunt'; besmette apparaten werden op afstand van de malware ontdaan.
IcedID (ook bekend als BokBot), voor het eerst gesignaleerd rond 2017, is een vergelijkbaar voorbeeld: ook dit begon als bankentrojan en werd later vooral gebruikt als dropper voor ransomware-aanvallen. IcedID was een van de doelwitten van 'Operation Endgame', een grootschalige actie in mei 2024 van Europol en Eurojust, samen met opsporingsdiensten uit onder meer Duitsland, Nederland, Frankrijk, het Verenigd Koninkrijk, Denemarken en de Verenigde Staten. Bij die operatie werden ook andere dropperfamilies zoals SystemBC, Pikabot, Smokeloader en Bumblebee aangepakt, met honderden servers wereldwijd die werden ontmanteld of onderzocht.
Gootloader is een voorbeeld van een dropper die een heel andere aanpak gebruikt: sinds ongeveer 2020 misbruikt deze techniek 'SEO-poisoning' (het manipuleren van zoekresultaten) via gehackte WordPress-websites. Mensen die online zoeken naar juridische documentsjablonen of contracten belanden op een nagemaakte pagina en downloaden zonder het te beseffen een dropper in plaats van het document dat ze zochten.
Hoe ver is de techniek?
Droppers bevinden zich middenin een voortdurend kat-en-muisspel tussen aanvallers en verdedigers. Na elke grote internationale takedown — zoals bij Emotet, TrickBot en QakBot — verdwijnt de betreffende malwarefamilie tijdelijk of definitief, maar duiken er vaak nieuwe, vergelijkbare droppers op die de vrijgekomen plek in de criminele markt innemen. Na de val van QakBot in 2023 werden bijvoorbeeld nieuwere loaders als Pikabot, DarkGate en Latrodectus vaker waargenomen in soortgelijke aanvalsketens.
De techniek verandert ook mee met verdedigingsmaatregelen. Toen Microsoft in 2022 aankondigde dat Office-macro's in bestanden die van internet zijn gedownload standaard worden geblokkeerd, verloor een populaire verspreidingsmethode ineens veel effectiviteit. Aanvallers weken daarna uit naar alternatieven zoals ISO- en LNK-bestanden, 'HTML-smuggling' (het verstoppen van kwaadaardige code in een ogenschijnlijk onschuldige webpagina) en, sinds 2024 steeds vaker, zogeheten 'ClickFix'-trucs: nepfoutmeldingen of nep-CAPTCHA's die gebruikers zelf overhalen om een commando in hun eigen systeem te plakken en uit te voeren.
Voor verdedigers zijn de belangrijkste obstakels de snelheid waarmee nieuwe varianten verschijnen en het feit dat internationale opsporing tijdrovend is: het opbouwen van een juridisch en technisch dossier voor een operatie als Operation Endgame kost vaak jaren voorbereiding. Ook is niet altijd duidelijk wie er precies achter een dropperfamilie zit, al wordt een deel van deze groepen vermoedelijk vanuit Rusland en omliggende landen actief, buiten het bereik van westerse opsporingsdiensten.
Wie werken eraan?
Aan de verdedigende kant houden zowel overheidsinstanties als private bedrijven zich bezig met het opsporen en ontmantelen van dropper-infrastructuur. Europol, met zijn European Cybercrime Centre (EC3), en Eurojust coördineren internationale opsporingsoperaties binnen Europa, vaak in samenwerking met de FBI en de Amerikaanse cyberveiligheidsdienst CISA. In Nederland speelt het Nationaal Cyber Security Centrum (NCSC) een rol bij het informeren van organisaties en het coördineren van de Nederlandse bijdrage aan internationale acties, terwijl de Europese Unie via ENISA kennis en richtlijnen deelt tussen lidstaten.
Aan de kant van dreigingsonderzoek zijn het vooral securitybedrijven die malwarefamilies analyseren, technische rapporten publiceren en soms zelf bijdragen aan takedown-operaties. Voorbeelden zijn de Threat Intelligence-afdeling van Microsoft, Mandiant (onderdeel van Google), CrowdStrike, ESET, Kaspersky, Check Point Research en Proofpoint. Hun onderzoek voedt ook publieke kennisbanken zoals het MITRE ATT&CK-raamwerk, waarin technieken van droppers en andere malware systematisch worden gecatalogiseerd, zodat beveiligingsteams wereldwijd dezelfde taal spreken bij het herkennen en tegenhouden van dit soort aanvallen.