Schadsoftware - Die Übersichtsseite

Computervirus

Mit Computerviren hat alles angefangen. Angelehnt an die Medizin breitet sich der Virus selbstständig aus und infiziert andere Programmdateien. Der Cascade-Virus, der zu den ersten gehört (1989) verteilte sich, indem er andere Programmdateien vom Typ .COM infiziert. Der eigentliche Virus ist dabei 1701 Byte lang und repliziert sich in die zu infizierende Datei, indem er sich an das Dateiende hängt und die Datei so verlängert. Danach modifiziert er Sprungtabellen am Programmanfang und stellt damit sicher, das sein eigener Programmcode aufgeführt wird.

Ein klassischer Computervirus lässt sich i.d.R. leicht identifizieren, da es einen definierten Suchbereich in einer Datei gibt (Dateiende) und ein fixes Muster an Suchbytes. Diese einfach Erkennung wurde durch das erscheinen von Polymorphen Viren deutlich erschwert und setzt sich bei Computerviren und andere Schadsoftware bis in die Jetztzeit fort.

Backdoor

Bei einem Backdoor handelt es sich um eine Hintertür, die in einem Anwendungsprogramm eingebaut ist. Dies kann mit Absicht durch den Programmierer erfolgt sein - oder auch zufällig als "nicht deaktiviertes Element von Software-Tests" während der Entwicklung.  Gefährlich sind beide Ursachen!
Backdoors reproduzieren sich nicht und sind durch den Hersteller oder Code-Produzenten im Quellcode verankert und werden bei der Erstellung des Programms erzeugt.
Über eine Backdoor, kann man beispielsweise die Rechte-Validierung umgehen (Anmeldung) und ohne Restriktionen auf alle Daten zugreifen.  Gerüchte sagen, das Backdoors im Auftrag von Regierungen und/oder Geheimdiensten in etablierte Tools durch die Produkthersteller eingebaut werden (müssen), um im Kriegsfall Vorteile zu erzielen.

Wobei man heute wohl auch davon ausgehen muss, das Backdoors eher für die Wirtschaftsspionage genutzt werden oder um finanziell Vorteile zu erzielen. Schutzprogramme, die nach Backdoors suchen gibt es nicht. Diese werden üblicherweise durch unabhängige Security-Analysten gefunden und veröffentlicht.

Rootkit

Mit zunehmender Komplexität der IT-Systeme war es erforderlich, Spezialisten für die zentrale Bearbeitung von Aufgaben zu betreuen. Hierbei handelt es sich üblicherweise um Administratoren.
Admins müssen sich oft mit wiederkehrenden Aufgaben beschäftigen und haben daher Tools geschaffen, die ihnen die Arbeit erleichtern oder bestehende Utilities optimiert. Angelehnt an die Unix-Administration, bei der ein privilegierter Administrator unter der Kennung root (Wurzel) arbeite, werden derartige Administrator-Tools auch Rootkits bezeichnet.

Im Security-Umfeld spricht man von einem Rootkit, wenn es sich dabei um eine Schadsoftware(-Sammlung) handelt, die analog zum Administrator, aus einem privilegierten Umfeld heraus arbeitet und diverse Schadaktionen ausführt. Rootkits sind üblicherweise im Betriebssystem verankert und nur mit Aufwand zu eliminieren. Auf das System gelangen sie in der Regel als Trojaner oder auch als Computervirus. Die Security-Hersteller haben meistens in Ihre Virenscannern spezifische Module integriert, um Rootkits zu erkennen und zu bekämpfen.

Makrovirus

Leistungsstarke Office-Anwendungen haben in ihren Programmen üblicherweise die Option implementiert, Vorgänge zu automatisieren. Dies geschieht durch eigene proprietäre Befehlssprachen, die im Jargon "Script-Language" genannt werden.

Makroviren entsprechen daher einer Schadsoftware, die auf einer Script-Sprache basiert. Im Normalfall kann eine solche Befehlsfolge (Makro) die gleichen Aktivitäten durchführen wie ein Anwender auch. So ist es beispielsweise möglich, innerhalb einer Textverarbeitung eine Replikation zu programmieren, die den eigenen Code in andere Textdateien vervielfältigt, die diesen Code noch nicht beinhalten. Als Schadaktion könnte dann beispielsweise ein Transfer einer Datendatei an einen externen Datenserver erfolgen oder analog zu Ransomware, alle erreichbaren Textdateien verschlüsselt.
Makroviren liegen normalerweise als Text vor oder in einer Art von Zwischencode (Pre-Kompiliert). Die Erkennung mit einem Virenscanner ist problemlos möglich. Seit dem Jahr 2016 ist eine wieder eine Zunahme von Makro-Angriffen zu beobachten, nachdem es um diese Viren-Gattung deutlich ruhiger wurde.

Als etablierte Schutzmaßnahem hat es sich eingebürgert, den Anwender vor der Ausführung von Makros um dessen Erlaubnis zu fragen. Damit kann ein aufmerksamer Anwender potentiell in der Lage, Schadsoftware zu entdecken,  bevor diese aktiv wird.

Polymorphe Viren

"Polymorphismus" kommt aus dem griechischen Wortschatz und bedeute soviel wie "Vielgestaltigkeit". Als polymorphe Schadsoftware bezeichnet man Malware, die in der Lage ist, ihren eigenen Programmcode zu verändern. Diese Maßnahme soll eine Erkennung durch Virenscanner bzw. Anti-Malwarescanner erschweren. Das Prinzip dabei ist recht einfach. Um die Zahl 10 zu erhalten, kann man 5+5 addieren. Man erhält aber auch das Ergebnis 10, wenn man 5+2+4-1 rechnet.

Im Binärcode sind dies jedoch andere Sequenzen, die n Erkennungssignaturen erforderlich machen oder ein aktives Überwachen eines potentiell verdächtigen Programms.
Heutzutage ist Polymorphismus ein Standard, der beinahe von jeder Schadsoftware genutzt wird. Leider zählen die Security-Unternehmen jede polymorphe Variante als eigene Schadsoftware, was zu hunderttausenden neuer "Viren" jedes Jahr führt, wobei es aber wahrscheinlich nur einige hundert sind, die jedes Jahr neu entwickelt werden.
Zur Bekämpfung von polymorphen Viren haben sich die sogenannten "Next-Gen-Virenscanner" bewährt, die Programmcode aktiv ausführen und definierte Zustände verifizieren und ohne Signaturmuster auskommen.

Fileless Malware

Der englische Fachbegriff "Fileless Malware" wird im Deutschen oft (etwas unglücklich) mit "Dateiloser Schadsoftware" übersetzt.

Treffender wäre ein Begriff wie "Speicheraktiver Virus". Denn genau das ist Malware vom Type "Fileless" (auch oft als "Zero-Footprint-Malware" bezeichnet). Die Schadsoftware wir auf einem Rechner aktiviert und verbleibt bevorzugt im Speicher des infizierten Systems haften.
Die Virus legt keine Kopie von sich im Dateisystem ab, und verknüpft i.d.R. auch keine Initialisierung-Sequenz, so dass er bei einem erneuten Bootendes Systems wieder aktiviert wird, da der Viruscode nicht persistent ist. Jedoch würde dies die Wirksamkeit der Angriffe massiv einschränken, denn jeder Rechner-Kaltstart würde den Virus eliminieren. Daher werden für die Überlebensfähigkeit andere Mechanismen bzw. Speicherorte bevorzugt, die in der Vergangenheit nicht von Security-Tools verifiziert wurden. Dazu gehört u.a. die Registry oder andere Bereiche, in denen normalerweise Daten abgelegt sind. Auch hier erfolgt dann eine Aktivierung nach dem Systemstart, indem eine Initialisierung erfolgt indem beispielsweise eine Datenfeld aus der Registry entschlüsselt wird und der dann gewonnen Malwareprogrammcode ausgeführt wird.

Auch Fileless Viren sind damit keine Zauberei, sondern einfach Schadsoftware, die ein wenig von der gewohnten Norm abweicht. Security-Tools der heutigen Generation sind daher auch gut geeignet für die Erkennung und Bekämpfung der Dateilosen Angreifer.