|
|
| Zeile 1: |
Zeile 1: |
| Teil der Übersicht [[Malware]]. Moderne Angriffe laufen in Stufen, vom ersten Zugang bis zum Ziel.
| | #WEITERLEITUNG [[Schadsoftware/Malware]] |
| | |
| Moderne Angriffe laufen in Stufen. Jede Stufe ist eine Chance, den Angriff zu erkennen.
| |
| <pre>
| |
| Erstzugang Phishing-Mail, Schwachstelle, gestohlenes Passwort
| |
| ↓
| |
| Lader kleines Programm oder Skript, lädt den Rest nach
| |
| ↓
| |
| Nutzlast die eigentliche Schadsoftware (RAT, Stealer, Ransomware)
| |
| ↓
| |
| C2-Kanal Verbindung zum Server des Angreifers (Command and Control)
| |
| ↓
| |
| Persistenz überlebt den Neustart: Autostart, Dienst, geplante Aufgabe
| |
| ↓
| |
| Ausbreitung weitere Rechner, Domänencontroller, Backups
| |
| ↓
| |
| Ziel Daten abziehen, verschlüsseln, zerstören
| |
| </pre>
| |
| | |
| ;Der C2-Kanal heute
| |
| *Früher öffneten Trojaner einen festen Port, auf den der Angreifer zugriff (siehe [[Trojaner-Ports]]).
| |
| *Heute baut die Schadsoftware die Verbindung '''von innen nach außen''' auf, meist über '''HTTPS auf Port 443''' oder über DNS. Für die Firewall sieht das aus wie normales Surfen.
| |
| *Typisch ist ein regelmäßiges „Nachhausetelefonieren“ (''Beaconing''), etwa alle 60 Sekunden, oft mit zufälliger Abweichung.
| |
| *Deshalb reicht es nicht, eingehende Verbindungen zu sperren. Auch ausgehender Verkehr muss gefiltert und überwacht werden: Proxy, DNS-Filter, IDS.
| |
| | |
| ;Einordnung
| |
| *Die Stufen entsprechen den Taktiken im Modell MITRE ATT&CK (https://attack.mitre.org). Dort ist für jede Stufe beschrieben, welche Techniken Angreifer nutzen und wie man sie erkennt.
| |
| | |
| [[Kategorie:Cybersecurity]]
| |