Malware Einordnung
Teil der Übersicht Malware. Was für eine Schadsoftware ist das? Drei Fragen helfen beim Einordnen.
Eine Schadsoftware lässt sich mit drei Fragen einordnen. Ein Programm kann dabei mehrere Antworten gleichzeitig haben: Ein Trojaner kann eine Ransomware nachladen, die sich als Wurm im Netz verbreitet.
Wie verbreitet sie sich?
- Virus
- Hängt sich an einen Wirt (Programm, Dokument, Bootsektor) und wird erst aktiv, wenn der Wirt ausgeführt wird.
- Braucht eine Aktion des Benutzers.
- Wurm
- Verbreitet sich selbstständig über das Netz, meist über eine Schwachstelle in einem erreichbaren Dienst.
- Braucht keinen Benutzer. Deshalb verbreiten sich Würmer in Minuten über ganze Netze.
- Beispiel: WannaCry (2017) nutzte eine Schwachstelle im SMB-Dienst von Windows.
- Trojaner
- Tarnt sich als nützliches Programm oder harmlose Datei, der Benutzer startet ihn selbst.
- Vermehrt sich nicht von allein, sondern öffnet die Tür für weitere Schadsoftware.
- Siehe Arten von Trojaner & bekannte Trojaner.
Was tut sie?
| Art | Was sie tut | Ziel des Angreifers |
|---|---|---|
| Ransomware | verschlüsselt Daten, oft vorher kopiert („doppelte Erpressung“: zahlen, sonst wird veröffentlicht) | Lösegeld |
| Infostealer | stiehlt gespeicherte Passwörter, Browser-Cookies, Sitzungen, Krypto-Wallets | Zugangsdaten verkaufen oder selbst nutzen; gestohlene Sitzungs-Cookies umgehen sogar MFA |
| Spyware, Keylogger | zeichnet Eingaben, Bildschirm, Mikrofon auf | Spionage |
| RAT / Backdoor | Fernsteuerung des Rechners (Remote Access Trojan) | dauerhafter Zugang, siehe Backdoor |
| Bot | macht den Rechner zum Teil eines Botnetzes | DDoS, Spam, Weiterverkauf, siehe Botnetze |
| Loader / Dropper | lädt die eigentliche Schadsoftware erst nach | unauffälliger Erstzugang, Weiterverkauf des Zugangs |
| Wiper | löscht oder zerstört Daten, oft als Ransomware getarnt | Sabotage |
| Cryptominer | nutzt Rechenleistung zum Schürfen von Kryptowährung | Geld, auf Kosten von Strom und Leistung |
| Adware | blendet Werbung ein, leitet Suchanfragen um | Werbeeinnahmen |
Wie versteckt sie sich?
- Rootkit
- Versteckt Prozesse, Dateien und Netzverbindungen vor dem Betriebssystem und damit vor dem Virenschutz.
- Bootkit
- Nistet sich vor dem Betriebssystem ein. Früher im MBR (siehe Bootsektorviren), heute in der UEFI-Startkette.
- Gegenmittel: Secure Boot und aktuelle Firmware. Selbst Secure Boot wurde schon umgangen (BlackLotus, 2023), deshalb zählen auch hier Updates.
- Polymorph und metamorph
- Virenscanner suchen nach Signaturen, also typischen Bytefolgen.
- Polymorphe Malware verschlüsselt sich bei jeder Kopie neu, metamorphe Malware schreibt sogar ihren eigenen Code um. Die Signatur ändert sich jedes Mal.
- Packer und Crypter
- Die Schadsoftware wird gepackt oder verschlüsselt und erst im Speicher entpackt. Auf der Platte liegt nur unauffälliger Code.
- Dateilos (fileless) und Living off the Land
- Es landet keine Schadsoftware als Datei auf der Platte. Stattdessen werden vorhandene Bordmittel missbraucht: PowerShell, mshta, rundll32, certutil, WMI.
- Diese Programme heißen LOLBins (Living off the Land Binaries). Sie sind signiert und legitim, ein Virenscanner schlägt deshalb nicht an.