- Anzeigen -


Sie sind hier: Home » Fachbeiträge » Grundlagen

Mustererkennung umgehen


Polymorphe Malware – Meister der Tarnung
Vier Best Practices gegen bösartige Verwandlungskünstler

- Anzeigen -





Von Christoph M. Kumpa, Director DACH & EE bei Digital Guardian

Ob Viren, Würmer, Bots, Trojaner oder Keylogger, viele der gängigen Malware-Formen bergen nicht nur ein hohes Schadenspotential, sondern sind auch überaus wandlungsfähig. Ein berüchtigtes Beispiel ist die CryptoWall-Ransomware, mit der Cyberkriminelle nach Schätzung des FBI mehr als 18 Millionen Dollar erbeutet haben. CryptoWall ist ein polymorpher Ransomware-Stamm, der in bekannter Manier Daten auf dem Computer des Opfers verschlüsselt und anschließend Lösegeld erpresst. Der in CryptoWall verwendete polymorphe Builder entwickelt dabei für jedes Angriffsziel eine im Wesentlichen neue Code-Variante, um der Entdeckung durch traditionelle Sicherheitslösungen zu entgehen. Polymorphe Malware ändert ständig ihre identifizierbaren Merkmale, beispielsweise durch Veränderung von Dateinamen und -typen, Verschlüsselung oder Komprimierung. Einige polymorphe Taktiken existieren bereits seit den 1990ern, doch in den letzten zehn Jahren hat sich eine neue Welle aggressiver polymorpher Malware entwickelt.

Bösartige Verwandlungskünstler: Wie polymorphe Malware agiert
Während polymorphe Malware manche ihrer Erscheinungsmerkmale ändert, bleibt ihre schädliche Funktion, beispielsweise als Ransomware oder Keylogger, jedoch unverändert. Polymorphismus wird verwendet, um die Mustererkennung zu umgehen, auf die sich Sicherheitslösungen wie traditionelle Antivirensoftware verlassen. Viele Malware-Stämme verfügen heutzutage über polymorphe Fähigkeiten, um herkömmliche AV-Lösungen auszuhebeln. Durch die Veränderung von Merkmalen erkennen signaturbasierte Security-Lösungen die Datei nicht als bösartig. Und selbst, wenn die Signatur identifiziert und in die Datenbank der AV-Lösung aufgenommen wird, kann polymorphe Malware weiterhin permanent ihre Signatur ändern und unentdeckt Angriffe durchführen. So sind Cyberkriminelle traditionellen Abwehrtechniken stets einen Schritt voraus.

Vier Best Practices zum Schutz vor polymorpher Malware
Um gegen diese Form der Malware gerüstet zu sein, ist eine Abwehrtechnologie, die auf der Verhaltensebene ansetzt, entscheidend. Diese sollte zudem Bestandteil eines mehrschichtigen Ansatzes sein, der Mitarbeiter, Prozesse und Sicherheitstechnologien kombiniert.

1. Verhaltensbasierte Erkennungswerkzeuge: Da polymorphe Malware entwickelt wurde, um der Erkennung durch herkömmliche Antiviren-Tools zu entgehen, verwenden Sicherheitslösungen der neuesten Generation fortschrittliche, verhaltensbasierte Erkennungstechniken. Verhaltensbasierte Lösungen wie Endpoint Detection and Response (EDR) oder Advanced Threat Protection (ATP) können Bedrohungen in Echtzeit erkennen, bevor Daten gefährdet werden. EDR-Tools überwachen Endpunkt- und Netzwerkereignisse und speichern diese Informationen in einer zentralen Datenbank.

Ein auf den Hostsystemen installierter Software-Agent bildet die Grundlage für die Ereignisüberwachung und das Reporting. Mithilfe fortschrittlicher Verfahren zur Verhaltensanalyse werden die Daten auf Anomalien wie selten auftretende Prozesse, ungewöhnliche oder unbekannte Verbindungen und andere verdächtige Aktivitäten untersucht. Dieser Vorgang kann automatisiert werden, wobei Anomalien Warnmeldungen für sofortige Maßnahmen oder weiterführende Untersuchungen auslösen. Zudem bieten viele EDR-Tools auch eine manuelle oder nutzergesteuerte Datenanalyse.

2. Software-Updates: Eine einfache Möglichkeit, Malware-Infektionen zu verhindern, besteht darin, die verschiedenen Anwendungen und Software-Tools des Unternehmens stets auf dem neuesten Stand zu halten. Hersteller von Unternehmenssoftware wie Microsoft, Oracle oder Adobe veröffentlichen regelmäßig Software-Updates, die kritische Sicherheits-Patches für bekannte Schwachstellen enthalten. Das Ausführen veralteter Software mit Sicherheitslücken eröffnet Angriffsflächen für Exploits, die zu einer Vielzahl von Malware-Infektionen führen können.

3. Sensibilisierung der Mitarbeiter für Phishing-Angriffe: Phishing-E-Mails beinhalten häufig bösartige Links oder Anhänge zur Verbreitung von Malware. Eine umfassende Aufklärung der Mitarbeiter, wie sie betrügerische Nachrichten erkennen können, trägt wesentlich dazu bei, diesen gängigen Bedrohungsvektor zu entschärfen.

4. Starke Passwörter: Konten mit starken, nicht mehrfach verwendeten Passwörtern zu schützen, die in regelmäßigen Abständen geändert werden, ist eine weitere bewährte Methode zum Schutz vor Malware. Unternehmen sollten ihre Mitarbeiter über die Standards zur Generierung starker Passwörter informieren und bei Bedarf Funktionen wie Multi-Faktor-Authentifizierung oder sichere Passwortmanager nutzen.

Die Kombination eines mehrschichtigen Security-Ansatzes mit verhaltensbasierten Sicherheitstechnologien wie Endpoint Detection and Response bietet einen grundlegenden Schutzwall gegen polymorphe Malware. Die Vorteile einer kontinuierlichen Transparenz aller Datenaktivitäten machen EDR zu einem wertvollen Bestandteil der Sicherheitsarchitektur, denn verhaltensbasierter Schutz ist wesentlich genauer als herkömmliche signaturbasierte Methoden. EDR-Tools ermöglichen IT-Teams, gängige Angriffe abzuwehren, erleichtert die Früherkennung bereits laufender Attacken durch externe Angreifer oder böswillige Insider und bietet eine rasche Reaktion auf erkannte Bedrohungen.
(Digital Guardian: ra)

eingetragen: 10.08.18
Newsletterlauf: 27.08.18

Digital Guardian: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Grundlagen

  • Geschichte und Zukunft der Ransomware

    Aktuelle Ransomware-Angriffe wie das erneute Aufflammen der GandCrab-Welle oder die Attacke auf den deutschen Maschinenbauer Krauss Maffei, durch den zahlreiche Rechner lahmgelegt und die Produktion wochenlang gedrosselt wurde, zeigen, dass das Geschäftsmodell der Datengeiselnahme für Cyberkriminelle leider nichts an Attraktivität eingebüßt hat. Lösegelderpressung durch Ransomware hat von ihren frühesten Anfängen vor 30 Jahren bis heute eine berüchtigte Karriere hingelegt. Durch die enorme Professionalisierung der Vertriebswege, beispielsweise durch Ransomware-as-a-Service (RaaS), wurden Krypto-Trojaner-Attacken auch für technisch wenig versierte Kriminelle zu einer der lohnenswertesten und erfolgreichsten Angriffsarten.

  • Unterschätzte Bedrohung "Datendiebstahl"

    Datendiebstahl zählt zu den größten Bedrohungen in der Cyberwelt. So wurden im Jahr 2017 rund 2,6 Milliarden Daten gestohlen. Das entspricht einer Zunahme von 88 Prozent im Vergleich zum Vorjahr (1). Trotzdem wird diese Gefahr häufig noch immer unterschätzt. Denn gerade durch das Aufkommen des Internet of Things (IoT) sowie des Industrial Internet of Things (IIoT) können die Folgen solcher ungewollten Datenabflüsse weitaus größere Ausmaße haben als "nur" den reinen Verlust von wichtigen Daten. Dabei haben es die Hacker auf den ersten Blick auf vermeintlich uninteressante Unternehmens- und Mitarbeiterdaten abgesehen.

  • Wer muss die Sicherheitsstrategie mittragen?

    Wir schreiben das Jahr 2019. Daten sind omnipräsent und allein mit unseren Fingerspitzen agieren wir hochgradig transformativ. Das ändert, wie wir unsere Geschäftstätigkeit betrachten, macht uns produktiver und vereinfacht an vielen Stellen unser Leben. Sei es, dass wir sicher nach Hause finden, Lebensmittel online bestellen können oder entscheiden, was wir wann auf welchem Gerät ansehen. Die Möglichkeiten sind schier unendlich sowohl für den privaten als auch für den geschäftlichen Bereich. Und jede Minute kommen neue Optionen dazu. Unglücklicherweise hat jede neue Möglichkeit auch neue Sicherheitsrisiken im Gepäck. Risiken, denen sich Sicherheitsverantwortliche wie CISOs nur allzu bewusst sind. Welche Verhaltensweisen, Methoden und Haltungen sind also besser als andere geeignet das bestmögliche aus unseren Daten herauszuholen und gleichzeitig deren Sicherheit zu gewährleisten?

  • Biometrie hat viele Gesichter

    Laut National Academies Press versteht man unter Biometrie "die automatisierte Erkennung von Individuen anhand von Verhaltensmerkmalen und biologischen Eigenschaften". Diese Merkmale werden zunehmend genutzt, um eine wachsende Zahl digitaler Systeme und Objekte wie Anwendungen, Datenquellen, Mobiltelefone, PCs und Gebäude zu sichern sowie den Zugang oder Zugriff zu ermöglichen. Hier ersetzen biometrische Merkmale vermehrt Passwörter und Codes, die wesentlich einfacher zu knacken sind. Passwörter haben fundamentale Schwächen. Sie können kompromittiert oder gestohlen, oder in einigen Fällen sogar einfach erraten werden - und so die digitale Identität einer Person gefährden. Biometrische Technologien sind an dieser Stelle wesentlich sicherer, weil sie sich auf einzigartige Erscheinungsmerkmale oder Verhaltensweisen einer Person stützen, bevor diese auf Geräte, Datenbanken oder Systeme zugreifen darf.

  • Fragmentierung macht Compliance-Nachweis schwierig

    Die Verschlüsselung von Daten ist rund um den Globus zu einem zentralen Bestandteil der IT-Sicherheitsstrategie von Unternehmen geworden. Das hat unterschiedliche Gründe. Öffentlich bekannt gewordene Fälle von Datenschutzverletzungen und Datendiebstahl haben Unternehmenslenker für die Folgewirkungen sensibilisiert. Neben rechtlichen Konsequenzen können Datenschutzverletzungen und Datenverluste auch negative Folgen für den Ruf des Unternehmens haben. Und auch Compliance-Anforderungen, wie sie etwa der PCI DSS an Unternehmen stellt, die Kreditkartentransaktionen nutzen, sind ein entscheidender Motivationsfaktor für den Einsatz von Verschlüsselungstechnologie. Moderne Datenverschlüsselung steht auf fünf Säulen: Sie ist universell, hoch automatisiert, sie nutzt moderne Authentifizierungsmechanismen, sie setzt auf Verschlüsselungstechnologien auf Hardwareebene und sie ist transparent und zentral verwaltet. Die Säulen im Einzelnen.