1.1 Malware verstehen: Komponenten, Typen und Analyse
Malware umfasst alle Programme, die darauf ausgelegt sind, Computersysteme ohne Zustimmung des Nutzers zu infiltrieren, zu beschädigen oder zu manipulieren. Jede Malware besteht aus drei funktionalen Bausteinen.
Infektionsmechanismus
Regelt die initiale Verbreitung — etwa über das Ausnutzen ungepatchter Schwachstellen, Phishing oder autonome Netzwerkverbreitung bei Würmern.
Trigger
Bestimmt, wann die Payload ausgeführt wird: zeitbasiert (Michelangelo aktivierte sich am 6. März) oder ereignisbasiert (Öffnen einer Datei).
Payload
Die eigentliche Schadfunktion: Datendiebstahl, Verschlüsselung, Keylogging oder Werbeeinblendungen.
Verbreitungswege: Downloader, Dropper, Würmer, Phishing
Downloader
Lädt nach der Erstinfektion weitere Payloads von einem Remote-Server nach — benötigt Netzwerkverbindung.
Dropper
Vollständig eigenständig, trägt die Payload bereits in sich und installiert sie unbemerkt — keine externe Quelle nötig.
Wurm
Verbreitet sich autonom über Netzwerke, meist über ungepatchte Schwachstellen — ohne Nutzerinteraktion.
Phishing
Social Engineering: Nutzer werden über gefälschte E-Mails oder Webseiten zum Ausführen verleitet.
Die wichtigsten Malware-Typen
| Typ | Charakteristik | Beispiele |
|---|---|---|
| Ransomware | Verschlüsselt Daten und fordert Lösegeld; verbreitet über Phishing, Downloads oder Exploit-Kits. | WannaCry, CryptoLocker |
| Spyware | Sammelt heimlich Zugangsdaten und Surfverhalten und übermittelt sie an Dritte. | FinFisher, DarkComet |
| Adware | Blendet unerwünschte Werbung ein, trackt Verhalten — meist nicht direkt zerstörerisch. | Fireball, Appearch |
| Wurm | Selbstreplizierend, eigenständiges Programm ohne Wirtsdatei. | Morris Worm (1988), Conficker |
| Trojaner | Tarnt sich als legitime Software, repliziert nicht selbst, setzt auf Social Engineering. | Zeus, SpyEye |
| Botnet | Netz kompromittierter Rechner („Bots"), zentral über C2-Server vom Botmaster gesteuert. | Mirai, Storm Worm |
Beispiel: Morris Worm
Am 2. November 1988 von Robert Tappan Morris freigesetzt — der erste Wurm mit breiter Medienwirkung und Auslöser der ersten Verurteilung nach dem Computer Fraud and Abuse Act von 1986.
Malware-Analyse: Ziele und Verfahren
Malware-Analyse ist die systematische Untersuchung verdächtiger Dateien, URLs oder Code, um Verhalten, Funktionsweise und Zweck zu verstehen. Ziele: erkennen, klassifizieren und verstehen — inklusive Fähigkeiten, Angriffsmechanismen, C2-Infrastruktur, Evasionstechniken und potenziellem Schaden.
Statische Analyse
Sichere Untersuchung ohne Ausführung:
- File Fingerprinting (MD5, SHA-256)
- Signature Analysis
- String Extraction
- Disassembly
- Packer Identification
- Code Analysis
Dynamische Analyse
Beobachtung des Verhaltens während der Ausführung:
- Behavioral Analysis (Datei, Registry, Prozesse)
- Network Traffic Analysis
- Memory Analysis
- API Call Monitoring
- Debugging (OllyDbg, WinDbg)
- Sandbox Analysis
1.2 Forensik
Digitale Forensik rekonstruiert vergangene Ereignisse — oft im juristischen Kontext. Sie umfasst das Identifizieren, Sammeln, Analysieren und Validieren digitaler Informationen, sodass Ermittler belastbare Schlüsse ziehen können.
Teilgebiete der digitalen Forensik
Computerforensik
Beweise von PCs, Servern und Speichermedien: Dateien, OS-Artefakte (Registry, Caches, Kernel-Daten), Anwendungslogs.
Datenbankforensik
Analyse von Transaktionen und Logs, um unautorisierte Zugriffe, Datenmanipulation und Betrug aufzudecken.
IoT-/Geräteforensik
Vernetzte Geräte, Sensoren, SCADA/PLC, Drohnen, Fahrzeuge — komplex und interdisziplinär.
Netzwerkforensik
Monitoring und Analyse von Netzwerkverkehr, Protokollspuren, Router-/Firewall-Logs: DoS, unautorisierte Zugriffe, Exfiltration.
Malware-Forensik
Identifikation und Interpretation von Schadsoftware. Zentral: Live Acquisition — flüchtiger Speicher wird im laufenden Betrieb gesichert.
Multimedia-Forensik
Authentifizierung von Bild-, Audio- und Videodateien via Metadaten, Error Level Analysis, Waveform-Prüfung.
Der forensische Prozess in 5 Schritten
- 1
Identification
Feststellen, wo relevante Beweise liegen könnten: Speichermedien, Hardware, Betriebssysteme, Netzwerke, Anwendungen.
- 2
Collection
Beweissicherung in Originalform — bitgenaue forensische Kopien oder Erfassung flüchtiger Daten. Fehler hier machen Beweise vor Gericht unbrauchbar.
- 3
Analysis
Untersuchung der gesammelten Daten: Täter identifizieren, Angriffsweg und ausgenutzte Schwachstellen bestimmen, Ereigniskette rekonstruieren.
- 4
Documentation
Lückenlose Aufzeichnung von Beweisen, Vorgehen und Schwachstellen — die Untersuchung muss überprüfbar und wiederholbar sein.
- 5
Presentation
Aufbereitung der Ergebnisse in gerichtsverwertbarer Form.
1.3 Root Cause Analysis (RCA)
Die Root Cause Analysis ermittelt die zugrunde liegende Ursache eines Sicherheitsvorfalls. Sie erfolgt nach Eindämmung und Bereinigung (Containment und Eradication) im Incident-Response-Prozess. Leitfragen: Wie kam die Malware herein? Welche Schwachstellen wurden ausgenutzt? Wie lässt sich das künftig verhindern?
Die 6 Bestandteile eines RCA-Berichts
- 1
Introduction
Zweck der Untersuchung, Hintergrund des Vorfalls, Malware-Typ (z. B. Ransomware, Trojaner, Rootkit) und ein knappes Problem Statement.
- 2
Event Description
Datum/Uhrzeit, was geschah, wie entdeckt (SIEM-Alarm, AV-Log, Nutzermeldung), wer meldete, Reaktionsmaßnahmen, Kommunikation, Auswirkung.
- 3
Event Timeline
Chronologische Liste der Ereignisse — deckt Lücken in der Reaktion auf (z. B. zu späte Erkennung).
- 4
Forensics Investigation
Technische Tiefe: Logs, Memory Dumps, Disk Images sammeln, Malware analysieren, Eintrittsvektor und Schadensumfang bestimmen.
- 5
Findings & Root Cause
Log-/Netzwerkanalyse, Eintrittspunkt, Schwachstellenbewertung, Auswirkung, Wiederholungsrisiko.
- 6
Corrective Actions
AV/EDR aktualisieren, E-Mail-Filter und Schulungen verstärken, ausgenutzte Systeme patchen, Incident-Response-Prozesse beschleunigen.
Beispiel: Event Timeline
10.07.2023, 14:35 Verdächtiger Netzwerkverkehr von Host 192.168.0.10 erkannt 10.07.2023, 15:10 Malware als Teil einer Phishing-Kampagne (Ransomware) identifiziert 10.07.2023, 15:25 Infizierter Host vom Netzwerk isoliert
1.4 Das MITRE-ATT&CK-Framework
MITRE ATT&CK ist eine kuratierte Wissensdatenbank über die Tactics, Techniques and Procedures (TTPs) realer Angreifer. Sie speist sich aus öffentlicher Threat Intelligence, Incident-Berichten und eigener Forschung. Ursprünglich auf Windows-Unternehmensumgebungen fokussiert, deckt sie heute auch Linux, macOS, Mobile und ICS ab.
Die Taktiken der Enterprise-Matrix
| Taktik | Worum es geht |
|---|---|
| Defense Evasion | Entdeckung vermeiden: Sicherheitssoftware deaktivieren, Code verschleiern oder verschlüsseln, vertrauenswürdige Prozesse missbrauchen, Logs löschen. |
| Credential Access | Zugangsdaten stehlen: Credential Dumping, Brute Force, Phishing, Keylogging. Gültige Credentials machen Angreifer unauffällig. |
| Discovery | Die kompromittierte Umgebung erkunden: Systemeinstellungen, Netzwerktopologie, Sicherheitskonfiguration, aktive Dienste. |
| Lateral Movement | Weiterbewegung im Netzwerk mit gestohlenen Credentials, Exploits oder Bordmitteln wie PsExec, WinRM, RDP. |
| Collection | Sammeln relevanter Daten: Dateien, Screenshots, Tastatureingaben, Netzwerkverkehr — Vorbereitung der Exfiltration. |
| Exfiltration | Abtransport der Daten, oft komprimiert/verschlüsselt über legitime Protokolle (HTTP, DNS) oder verdeckte Kanäle. |
| Command & Control | Steuerung kompromittierter Systeme über verdeckte oder verschlüsselte Kanäle, getarnt als normaler Traffic (HTTPS, DNS). |
Mitigations — die Verteidigerseite
Zu Techniken und Sub-Techniken liefert ATT&CK konkrete Gegenmaßnahmen, die sich an anerkannten Security-Best-Practices orientieren.
Beispiel
Taktik Credential Access → Technik Brute Force → Sub-Technik Password Guessing (T1110.001). Wirksame Mitigation: Multi-Faktor-Authentifizierung — das bloße Erraten des Passworts genügt dann nicht mehr.
Weitere typische Enterprise-Mitigations: Least Privilege, starke Authentifizierung, konsequentes Patch-Management, AV-Einsatz, Monitoring auf anomales Verhalten. Für Mobile kommen MDM-Lösungen, aktuelle Betriebssysteme, VPN/verschlüsselte Kommunikation und MFA für Apps hinzu.
1.5 Best Practices für Prävention und Mitigation
Wirksamer Malware-Schutz ist immer mehrschichtig. Die folgenden zehn Maßnahmen senken das Infektionsrisiko deutlich.
Systeme aktuell halten
Betriebssysteme, Anwendungen und Firmware regelmäßig aktualisieren, wo möglich automatische Updates aktivieren.
Robuste Sicherheitssoftware
Seriöse Antiviren- und Anti-Malware-Lösungen einsetzen, regelmäßig scannen und aktuell halten.
Sicheres Surf- und E-Mail-Verhalten
Phishing und Social Engineering erkennen, keine verdächtigen Links/Anhänge öffnen, Ad- und Popup-Blocker nutzen.
Starke Zugriffskontrollen
Einzigartige Passwörter, MFA wo möglich, Least-Privilege-Prinzip für Benutzerkonten.
Netzwerk absichern
Firewall einsetzen, Remote-Zugriffe über VPN.
Mitarbeiter schulen
Regelmäßige Awareness-Trainings, klare Sicherheitsrichtlinien und -prozesse etablieren.
Regelmäßige Backups
Kritische Daten sichern und sicher aufbewahren — vorzugsweise offsite oder in der Cloud.
Monitoring und Audits
Netzwerkaktivität auf Auffälligkeiten überwachen, regelmäßige Sicherheitsaudits durchführen.
E-Mail- und Web-Filter
Spamfilter und E-Mail-Scanning nutzen, Zugriff auf bekannte bösartige Seiten blockieren.
Physische Sicherheit
Physischen Zugang zu Geräten und Servern absichern — oft unterschätzt.