Ein Dropper ist eine kleine Schadsoftware, deren einzige Aufgabe die Zustellung ist: Sie bringt eine andere, eigentliche Schadsoftware (den Payload) auf das System und startet sie. Der Name kommt vom englischen „to drop“ — der Dropper „lässt“ den Payload „fallen“.
Dropper, Downloader, Loader — was ist der Unterschied?
Ein Dropper trägt den Payload eingebettet in der eigenen Datei und schreibt ihn auf die Platte. Ein Downloader dagegen lädt den Payload erst zur Laufzeit von einem entfernten Server (Command-and-Control) nach. Ein Loader führt den Payload direkt im Speicher aus, ohne ihn dauerhaft als Datei abzulegen — ein Verhalten, das an Fileless-Malware grenzt. Die Übergänge sind fließend, viele Schädlinge kombinieren die Techniken.
Warum Angreifer Dropper einsetzen
Der Dropper selbst ist klein, unscheinbar und oft gepackt oder mit gültiger Signatur versehen. Er tarnt sich als Installer, Office-Dokument mit Makro, gecrackte Anwendung oder seriöse Datei aus einer Phishing-Mail. Bevor er den Payload aktiviert, prüft er die Umgebung: Läuft er in einer Analyse-Sandbox, einer virtuellen Maschine oder in einer frisch installierten Umgebung, bleibt er stumm. So umgeht er Erkennung und Automatisierung.
Der Payload selbst kann alles sein: ein Remote-Access-Trojaner, Ransomware, Cryptojacker oder ein Infostealer. Bekannte Beispiele: Emotet agierte zeitweise als Dropper für andere Schadsoftware wie TrickBot und Ryuk; QakBot lieferte ebenfalls Folge-Malware aus.
Verwandte Grundlagen: Trojaner, Malware, Polymorphe Malware.