Start / Unit 2

Unit 02

Analyse-Labor aufbauen

Ein Malware-Labor muss zwei Dinge gleichzeitig leisten: die Umgebung schützen und realistisch genug wirken, damit die Malware ihr echtes Verhalten zeigt. Dieser Spagat ist das Thema dieser Unit.

Lernziele dieser Unit

  • Ein sicheres Malware-Analyse-Labor planen und aufsetzen
  • Stealth-Techniken gegen Anti-Analyse-Mechanismen anwenden
  • Isolationsstrategien auswählen und umsetzen
  • Honeypots klassifizieren und ihre Vor- und Nachteile bewerten

2.1 Ein sicheres Malware-Analyse-Labor bauen

Labor-Typen

📥

Collection Lab

Sammelt Samples aus infizierten Systemen, Honeypots, freien Repositories und Forschungs-Mailinglisten — sicher gelagert und katalogisiert.

🔬

Static Analysis Lab

Zerlegt Binaries ohne Ausführung: Struktur verstehen, Obfuskation erkennen, Signaturen und IoCs extrahieren.

⚡

Dynamic Analysis Lab

Führt Samples kontrolliert aus und protokolliert das Verhalten in Echtzeit.

Netzwerkkonfiguration der Analyse-VM

ModusFunktionsweiseEignung für Malware-Analyse
Bridged VM hängt direkt am Netz des Hosts und ist denselben Bedrohungen ausgesetzt. ❌ Nicht empfohlen — Gefahr der Netzinfektion
NAT VM erhält private IP in einem eigenen Subnetz; sie kann nach außen verbinden, von außen ist sie nicht erreichbar. ✅ Meist bevorzugt — Balance aus Konnektivität und Sicherheit
Host-only Kommunikation nur zwischen VM und Host, kein externer Netzzugang. ⚠️ Gut für Malware ohne Internetbedarf; C2-Kommunikation bleibt aus

Beispiel: NAT-Modus

Die VM hat 192.168.6.3, der Host 192.168.6.1 intern und z. B. 203.0.113.1 öffentlich. Beim Internetzugriff übersetzt die Virtualisierungssoftware die private auf die öffentliche Adresse — externe Systeme sehen nur den Host und können die VM nicht direkt ansprechen.

Restrisiko im NAT-Modus: Eingehende Verbindungen sind blockiert, ausgehende aber nicht. Die Malware kann C2-Server kontaktieren, Nachladen von Payloads auslösen oder sich verbreiten. Gegenmaßnahmen: Traffic mit Wireshark/Snort mitschneiden, Host-Firewall restriktiv konfigurieren, Internetdienste mit INetSim simulieren, VM in separates VLAN legen.

Analyse-System einrichten — 6 Schritte

  1. 1

    Betriebssystem installieren

    Typisch: Windows 7/10, Ubuntu, Android, REMnux, FLARE VM, Kali Linux. Das OS sollte einem echten Nutzersystem ähneln, damit die Malware ihr reales Verhalten zeigt.

  2. 2

    Analyse-Tools installieren

    Statisch: IDA Pro, Ghidra, PEiD. Dynamisch: Process Monitor, Wireshark, Volatility.

  3. 3

    Netzwerk konfigurieren

    NAT oder Host-only wählen, um externe Kommunikation zu kontrollieren.

  4. 4

    Snapshots/Backups anlegen

    Sauberen Zustand jeder VM sichern, um nach der Analyse sofort zurückzusetzen.

  5. 5

    Umgebung testen

    Netzwerkisolation prüfen, Schwachstellen scannen, Testlauf mit einem Sample durchführen.

  6. 6

    Konfiguration dokumentieren

    OS-Versionen, Patch-Stände und Netzwerkkonfiguration festhalten und bei Änderungen aktualisieren.

2.2 Stealth — unentdeckt analysieren

Moderne Malware prüft aktiv, ob sie beobachtet wird. Erkennt sie eine Analyseumgebung, ändert sie ihr Verhalten, bleibt dormant oder beendet sich — die Analyse läuft ins Leere.

Anti-Analyse-Techniken der Malware

🖥️

Virtualisierungserkennung

Sucht nach virtuellen Hardware-Kennungen, Gerätetreibern oder Prozessen von VMware/VirtualBox.

🐛

Debugger-Erkennung

Prüft z. B. mit IsDebuggerPresent(), ob ein Debugger angehängt ist; reagiert mit Junk-Code oder verändertem Timing.

📦

Sandbox-Erkennung

Achtet auf geringe System-Uptime, wenig Hardware-Ressourcen oder fehlende Nutzeraktivität.

🔎

Environmental Fingerprinting

Untersucht Hard- und Softwareprofil auf untypische Konfigurationen, fehlende Standarddateien oder auffällig wenig Aktivitätslogs.

Environmental Fingerprinting: Technik, mit der Malware charakteristische Merkmale einer Computerumgebung identifiziert, um Analyse- oder virtualisierte Setups zu erkennen.

Gegenmaßnahmen der Analysten

  • MAC-Adresse ändern, um eine physische Netzwerkkarte vorzutäuschen
  • Registry-Einträge mit Verweisen auf Virtualisierungssoftware verstecken oder anpassen
  • Hardware-Identifier (Festplatte, CPU) auf realistische Werte setzen
  • Seltenere Hypervisoren wie Hyper-V oder QEMU nutzen — VMware und VirtualBox werden häufiger erkannt
  • VMware Tools / Guest Additions deaktivieren
  • DNS-Anfragen umleiten mit DNSChef, Internet simulieren mit FakeNet-NG
  • Traffic verdeckt mitschneiden, z. B. per Port-Mirroring am Switch statt sichtbarem Sniffer in der VM
  • Analyse-Tools umbenennen oder weniger verbreitete Werkzeuge nutzen — viele Samples suchen gezielt nach Prozessnamen wie ProcMon, Wireshark oder IDA Pro

2.3 Isolation

Isolation bedeutet, eine Umgebung zu schaffen, in der Malware ausgeführt und analysiert werden kann, ohne echte Systeme oder Netzwerke zu gefährden.

Zwei Zwecke: Sicherheit — die Malware darf sich nicht ausbreiten oder Schaden anrichten. Genauigkeit — in einer nicht isolierten Umgebung verhält sich Malware unter Umständen anders, weil sie Schutzmechanismen bemerkt.

Techniken der Isolation

📦

Virtualisierung (VMs)

Emuliert echte Hardware; Snapshots erlauben das schnelle Zurücksetzen in einen sauberen Zustand.

🔌

Air-gapped Maschinen

Physisch getrennte Rechner ohne jede Netzwerkverbindung — für besonders gefährliche Samples.

🖧

Hardware-Isolation

Komplett separate physische Systeme, die ausschließlich der Malware-Analyse dienen.

🧱

Netzwerksegmentierung

Isolierte interne virtuelle Netze verhindern den Zugriff auf andere Geräte im Unternehmensnetz.

🔥

Firewall-Regeln

Strikte Regeln verhindern den Zugriff auf externe Netze — insbesondere auf C2-Server.

🎭

Simulierte C2-Server

Nachgebaute Steuerserver zeigen, welche Befehle die Malware erwartet und wie sie darauf reagiert.

Werkzeuge zur Isolation

KategorieWerkzeugeFunktion
VirtualisierungVMware, VirtualBox, Hyper-VIsolierte VMs für die sichere Ausführung
SandboxingCuckoo Sandbox, ANY.RUN, FireEye AXÜberwachte Ausführung mit Reports zu Syscalls, Dateien, Netzwerk, Registry
Netzwerkisolation/-simulationGNS3, EVE-NG, INetSim, FakeNet-NGIsolierte, realistische Netztopologien und simulierte Internetdienste
Firewalls & ProxiesInterne Firewalls, Proxy-ServerKommunikationskanäle steuern, protokollieren und Antworten manipulieren

2.4 Honeypots

Ein Honeypot ist ein Köder-System, das Angreifer von echten Assets weglockt und dabei Informationen über ihre Methoden, Ziele und Taktiken sammelt. Er ahmt Struktur und Inhalte realer Systeme nach, damit der Angreifer glaubt, in einer echten Umgebung zu sein.

Klassifikation nach Zweck

Research Honeypots

Dienen der Forschung: Angreiferverhalten, Tools und Techniken im Detail studieren. Beispiele: Honeynet Project (Honeywall, Sebek), Modern Honey Network (MHN).

Production Honeypots

Laufen in der produktiven Umgebung und erkennen Angriffe in Echtzeit; sie lenken Angreifer von kritischen Assets ab. Beispiel: Canarytokens.

Klassifikation nach Interaktionsgrad

GradMerkmaleBeispiele
Low-InteractionSimuliert nur bestimmte Dienste oder Betriebssysteme; leicht zu betreiben, geringes Risiko, da keine vollständige Kontrolle möglich ist.Honeyd
Medium-InteractionMehr Interaktion und detailliertere Daten bei überschaubarem Risiko.Cowrie (SSH), Dionaea (SMB/Malware-Sammlung)
High-InteractionEchtes Betriebssystem, umfassende Interaktion und sehr detaillierte Daten — ressourcenintensiv und riskant ohne saubere Isolation.GenII Honeynet

Klassifikation nach Funktion und Angriffsvektor

🦠

Malware-Honeypots

Sammeln Schadsoftware zur Analyse — z. B. Dionaea, das Malware über Netzwerkdienste einfängt.

📨

Spamtraps

E-Mail-Fallen zum Sammeln von Spam und Analysieren von Kampagnen (z. B. mit SpamAssassin).

🗄️

Datenbank-Honeypots

Simulieren Datenbankdienste, um SQL-Injection zu erkennen — z. B. SQLol, ElasticHoney.

🌐

Web-Application-Honeypots

Simulieren verwundbare Webanwendungen — z. B. Glastopf, Nodepot.

Honeytokens: Köderdaten oder -zugangsdaten, die in Systemen platziert werden und beim Zugriff Alarm auslösen — sie verraten unautorisierte Aktivität.

Vor- und Nachteile

✅ Vorteile

  • Detaillierte Einblicke in Angreifer-Taktiken
  • Bindet Ressourcen und Aufmerksamkeit der Angreifer
  • Verschafft Verteidigern Reaktionszeit
  • Verbessert die Sicherheitsstrategie kontinuierlich

⚠️ Nachteile

  • Erfahrene Angreifer erkennen Honeypots an Antwortverhalten oder Konfiguration
  • Begrenzter Erkennungsumfang — nur Angriffe auf den Honeypot werden erfasst
  • Trügerische Sicherheit bei alleinigem Verlass auf Honeypots
  • Angreifer können erkannte Honeypots mit Falschinformationen füttern