Malware Ablauf einer Infektion

Teil der Übersicht Malware. Moderne Angriffe laufen in Stufen, vom ersten Zugang bis zum Ziel.

Moderne Angriffe laufen in Stufen. Jede Stufe ist eine Chance, den Angriff zu erkennen.

Erstzugang      Phishing-Mail, Schwachstelle, gestohlenes Passwort
    ↓
Lader           kleines Programm oder Skript, lädt den Rest nach
    ↓
Nutzlast        die eigentliche Schadsoftware (RAT, Stealer, Ransomware)
    ↓
C2-Kanal        Verbindung zum Server des Angreifers (Command and Control)
    ↓
Persistenz      überlebt den Neustart: Autostart, Dienst, geplante Aufgabe
    ↓
Ausbreitung     weitere Rechner, Domänencontroller, Backups
    ↓
Ziel            Daten abziehen, verschlüsseln, zerstören

Der C2-Kanal heute

• Früher öffneten Trojaner einen festen Port, auf den der Angreifer zugriff (siehe Trojaner-Ports).
• Heute baut die Schadsoftware die Verbindung von innen nach außen auf, meist über HTTPS auf Port 443 oder über DNS. Für die Firewall sieht das aus wie normales Surfen.
• Typisch ist ein regelmäßiges „Nachhausetelefonieren“ (Beaconing), etwa alle 60 Sekunden, oft mit zufälliger Abweichung.
• Deshalb reicht es nicht, eingehende Verbindungen zu sperren. Auch ausgehender Verkehr muss gefiltert und überwacht werden: Proxy, DNS-Filter, IDS.

Einordnung

• Die Stufen entsprechen den Taktiken im Modell MITRE ATT&CK (https://attack.mitre.org). Dort ist für jede Stufe beschrieben, welche Techniken Angreifer nutzen und wie man sie erkennt.