Dropper y downloader
Un dropper y un downloader son las dos formas de entregar malware en un equipo: el dropper lleva la carga dentro de sí y la escribe en el disco, y el downloader no lleva nada y la trae de un servidor en el momento en que se ejecuta. Ninguno de los dos es el daño, los dos son el camino por el que llega.
Cómo funciona
Los dos son entrega, no carga, y esa es la razón de que se estudien juntos. Un dropper trae el malware dentro de sí, normalmente ofuscado o cifrado como un recurso más del fichero, y su trabajo es escribirlo en el equipo y ejecutarlo. Un downloader no trae nada: lleva la lógica para pedirlo y una dirección a la que pedirlo.
Por dónde llegan es lo de menos y por eso cambia tanto: un adjunto que parece una factura, un instalador que sale primero en una búsqueda, un script, un acceso directo. Lo que persiguen los dos es idéntico, que es conseguir la primera ejecución en la máquina. A partir de ahí el resto del ataque ya no depende del correo ni del navegador.
Y los dos suelen dejar persistencia antes de traer la carga real, porque una etapa que no sobrevive a un reinicio no sirve de mucho. Esa es también la parte que más rastro deja, y por tanto la que conviene mirar cuando ya ha pasado.
Qué sale mal
El downloader es el que peor se detecta, y el motivo merece entenderse porque no es que sea más sofisticado. Es que en el momento en que se analiza puede no llevar nada malicioso encima. Un análisis estático ve un programa que hace una petición HTTP, que es lo que hace medio internet. Y una ejecución en entorno controlado, si se hace cuando la infraestructura del atacante ya ha caído, ve una conexión fallida y firma que el fichero está limpio. Lo malicioso no está en el fichero: está en lo que al fichero le dicen que traiga.
De ahí sale la segunda consecuencia, que es la que rompe los informes. Quien opera el mando y control decide qué entrega y a quién, y puede decidirlo por el país, por el dominio al que está unida la máquina o por si merece la pena. La misma campaña deja un infostealer en un sitio y ransomware en otro. Así que «sabemos qué entrega esta campaña» es una frase con fecha de caducidad corta, y construir la respuesta alrededor de la carga que se vio ayer deja fuera la de mañana.
Dónde aparece esto en una auditoría
En una simulación de phishing la pregunta interesante no es cuánta gente pulsa, que es el número que se enseña y el que menos dice. La pregunta es qué pasa DESPUÉS de que alguien pulse. Se manda un adjunto que se comporta como un dropper sin hacer daño y se mide qué capa lo para: el filtro del correo, la política de macros, el control de aplicaciones, el EDR o la persona que lo reporta.
Lo que suele aparecer es que no lo para ninguna, y que la alerta sí se generó pero no la leyó nadie. Ese es el hallazgo, y se redacta contra la cadena entera y no contra el usuario: una empresa donde el 100% de la plantilla acierta el mes de la formación sigue estando a un clic de distancia el mes siguiente.