|
|
| Zeile 1: |
Zeile 1: |
| Teil der Übersicht [[Malware]]. Was für eine Schadsoftware ist das? Drei Fragen helfen beim Einordnen.
| | #WEITERLEITUNG [[Schadsoftware/Malware]] |
| | |
| Eine Schadsoftware lässt sich mit drei Fragen einordnen. Ein Programm kann dabei mehrere Antworten gleichzeitig haben: Ein Trojaner kann eine Ransomware nachladen, die sich als Wurm im Netz verbreitet.
| |
| | |
| == Wie verbreitet sie sich? ==
| |
| ;Virus
| |
| *Hängt sich an einen Wirt (Programm, Dokument, Bootsektor) und wird erst aktiv, wenn der Wirt ausgeführt wird.
| |
| *Braucht eine Aktion des Benutzers.
| |
| ;Wurm
| |
| *Verbreitet sich '''selbstständig''' über das Netz, meist über eine Schwachstelle in einem erreichbaren Dienst.
| |
| *Braucht keinen Benutzer. Deshalb verbreiten sich Würmer in Minuten über ganze Netze.
| |
| *Beispiel: WannaCry (2017) nutzte eine Schwachstelle im SMB-Dienst von Windows.
| |
| ;Trojaner
| |
| *Tarnt sich als nützliches Programm oder harmlose Datei, der Benutzer startet ihn selbst.
| |
| *Vermehrt sich nicht von allein, sondern öffnet die Tür für weitere Schadsoftware.
| |
| *Siehe [[Arten von Trojaner & bekannte Trojaner]].
| |
| | |
| == Was tut sie? ==
| |
| {| class="wikitable"
| |
| ! Art !! Was sie tut !! Ziel des Angreifers
| |
| |-
| |
| | '''Ransomware''' || verschlüsselt Daten, oft vorher kopiert („doppelte Erpressung“: zahlen, sonst wird veröffentlicht) || Lösegeld
| |
| |-
| |
| | '''Infostealer''' || stiehlt gespeicherte Passwörter, Browser-Cookies, Sitzungen, Krypto-Wallets || Zugangsdaten verkaufen oder selbst nutzen; gestohlene Sitzungs-Cookies umgehen sogar MFA
| |
| |-
| |
| | '''Spyware, Keylogger''' || zeichnet Eingaben, Bildschirm, Mikrofon auf || Spionage
| |
| |-
| |
| | '''RAT / Backdoor''' || Fernsteuerung des Rechners (''Remote Access Trojan'') || dauerhafter Zugang, siehe [[Backdoor]]
| |
| |-
| |
| | '''Bot''' || macht den Rechner zum Teil eines Botnetzes || DDoS, Spam, Weiterverkauf, siehe [[Botnetze]]
| |
| |-
| |
| | '''Loader / Dropper''' || lädt die eigentliche Schadsoftware erst nach || unauffälliger Erstzugang, Weiterverkauf des Zugangs
| |
| |-
| |
| | '''Wiper''' || löscht oder zerstört Daten, oft als Ransomware getarnt || Sabotage
| |
| |-
| |
| | '''Cryptominer''' || nutzt Rechenleistung zum Schürfen von Kryptowährung || Geld, auf Kosten von Strom und Leistung
| |
| |-
| |
| | '''Adware''' || blendet Werbung ein, leitet Suchanfragen um || Werbeeinnahmen
| |
| |}
| |
| | |
| == Wie versteckt sie sich? ==
| |
| ;Rootkit
| |
| *Versteckt Prozesse, Dateien und Netzverbindungen vor dem Betriebssystem und damit vor dem Virenschutz.
| |
| ;Bootkit
| |
| *Nistet sich vor dem Betriebssystem ein. Früher im MBR (siehe [[Bootsektorviren]]), heute in der UEFI-Startkette.
| |
| *Gegenmittel: '''Secure Boot''' und aktuelle Firmware. Selbst Secure Boot wurde schon umgangen (BlackLotus, 2023), deshalb zählen auch hier Updates.
| |
| ;Polymorph und metamorph
| |
| *Virenscanner suchen nach Signaturen, also typischen Bytefolgen.
| |
| *Polymorphe Malware verschlüsselt sich bei jeder Kopie neu, metamorphe Malware schreibt sogar ihren eigenen Code um. Die Signatur ändert sich jedes Mal.
| |
| ;Packer und Crypter
| |
| *Die Schadsoftware wird gepackt oder verschlüsselt und erst im Speicher entpackt. Auf der Platte liegt nur unauffälliger Code.
| |
| ;Dateilos (''fileless'') und Living off the Land
| |
| *Es landet keine Schadsoftware als Datei auf der Platte. Stattdessen werden vorhandene Bordmittel missbraucht: PowerShell, mshta, rundll32, certutil, WMI.
| |
| *Diese Programme heißen ''LOLBins'' (Living off the Land Binaries). Sie sind signiert und legitim, ein Virenscanner schlägt deshalb nicht an.
| |
| | |
| [[Kategorie:Cybersecurity]]
| |