Viren, Würmer und Trojaner

Malware (Schadsoftware) ist jede Software, die darauf ausgelegt ist, Systeme zu stören, zu beschädigen, unbefugten Zugriff zu erlangen oder Daten aus Systemen auszuschleusen. Der Begriff umfasst viele unterschiedliche Kategorien, die sich darin unterscheiden, wie sie sich verbreiten, was sie tun und welchen Erkennungstechniken sie entgehen. Security+ prüft Ihre Fähigkeit, Malwaretypen anhand ihres Verbreitungsmechanismus (wie sie sich verbreiten), ihrer Nutzlast (welchen Schaden oder welche Aktion sie verursachen) und ihres Persistenzmechanismus (wie sie Neustarts überstehen) zu unterscheiden. Die drei grundlegenden Kategorien sind Viren, Würmer und Trojaner.

Ein Virus ist Malware, die sich an eine legitime Wirtsdatei anhängt und eine menschliche Aktion (das Ausführen der infizierten Datei) benötigt, um sich zu verbreiten. Wenn die infizierte Datei ausgeführt wird, repliziert sich der Virus, indem er seinen Code in andere ausführbare Dateien, Dokumente oder Bootsektoren einschleust. Zu den Virustypen gehören Dateiinfektoren (hängen sich an .exe-Dateien an), Makroviren (sind in Office-Dokumente eingebettet und werden ausgeführt, wenn Makros laufen), Bootsektorviren (infizieren den MBR und werden vor dem Betriebssystem geladen) und polymorphe Viren (ändern ihre Codesignatur bei jeder Infektion, um einer signaturbasierten Erkennung zu entgehen).

Ein Wurm ist selbstreplizierende Malware, die sich eigenständig über Netzwerke verbreitet, ohne eine Wirtsdatei oder menschliche Aktion zu benötigen. Würmer nutzen Netzwerkschwachstellen oder schwache Zugangsdaten aus, um sich auf andere Systeme zu kopieren. Der Wurm SQL Slammer infizierte 2003 innerhalb von 10 Minuten 75.000 Systeme, indem er ein einziges UDP-Paket verwendete. Die Ransomware WannaCry verbreitete sich 2017 als Wurm über den auf SMBv1 abzielenden EternalBlue-Exploit. Würmer verursachen durch Netzwerküberlastung und die massenhafte Verbreitung ihrer Nutzlast erheblichen Schaden. Patching und Netzwerksegmentierung sind die wichtigsten Abwehrmaßnahmen.

Ein Trojanisches Pferd (oder Trojaner) ist als legitime Software getarnte Malware. Anders als Viren und Würmer replizieren sich Trojaner nicht selbst — sie sind darauf angewiesen, dass Benutzer sie installieren, weil sie glauben, es handle sich um etwas Nützliches: ein kostenloses Spiel, eine gecrackte Anwendung, ein hilfreiches Dienstprogramm, ein gefälschtes Antivirenprogramm oder ein Softwareupdate. Nach der Installation führt der Trojaner seine bösartige Nutzlast aus. Dazu können die Installation einer Hintertür, der Einsatz als RAT (Remote Access Trojan), das Protokollieren von Tastatureingaben oder das Herunterladen zusätzlicher Malware gehören. Trojaner werden häufig dazu verwendet, den anfänglichen Zugriff zu etablieren, bevor schädlichere Nutzlasten eingesetzt werden.

Die Security+-Prüfung fragt häufig nach den Unterschieden zwischen diesen drei Kategorien. Die entscheidenden Unterscheidungsmerkmale: Viren benötigen eine Wirtsdatei und eine menschliche Aktion, um sich zu verbreiten; sie infizieren legitime Dateien. Würmer sind in sich geschlossen und selbstverbreitend — sie verbreiten sich automatisch über Netzwerke, ohne sich an andere Dateien anzuhängen oder eine Benutzerinteraktion zu erfordern. Trojaner replizieren sich nicht selbst und setzen auf Täuschung — der Benutzer muss dazu gebracht werden, sie zu installieren. Ein Malwareprogramm kann Merkmale kombinieren (etwa ein Wurm, der eine Trojaner-Nutzlast ablegt). Konzentrieren Sie sich bei der Klassifizierung daher auf den vorherrschenden Verbreitungsmechanismus.

Viele Trojaner und Würmer bauen eine Kommunikation mit einem Command-and-Control-Server (C2-Server) auf — einem entfernten Server, den der Angreifer verwendet, um infizierten Hosts Befehle zu erteilen. Eine große Anzahl von mit C2 verbundenen Hosts bildet ein Botnetz. Botnetze werden für DDoS-Angriffe, Spam-Kampagnen, das Mining von Kryptowährungen und den Diebstahl von Zugangsdaten eingesetzt. Die C2-Kommunikation kann HTTP/HTTPS verwenden, um sich unter normalen Webdatenverkehr zu mischen, DNS-Tunneling, um sich in DNS-Abfragen zu verstecken, oder Peer-to-Peer-Protokolle, die keinen zentralen Server haben, den man abschalten könnte. Zur Erkennung von C2-Datenverkehr sind DNS-Überwachung, Proxy-Protokolle und eine Analyse des Netzwerkdatenflusses auf anomale Beaconing-Muster erforderlich.

Herkömmliche Antivirensoftware nutzt signaturbasierte Erkennung — Dateien werden mit einer Datenbank bekannter Malware-Signaturen (Hashes oder Codemuster) verglichen. Signaturen sind schnell, versagen jedoch bei neuer oder veränderter Malware. Die verhaltensbasierte Erkennung (wie sie von EDR-Plattformen eingesetzt wird) überwacht das Programmverhalten in Echtzeit: das Erstellen von Kindprozessen, das Ändern von Registrierungsschlüsseln, das Einschleusen von Code in andere Prozesse oder die Kontaktaufnahme mit bekannten schädlichen IP-Adressen. Die heuristische Analyse untersucht Code statisch auf malwareähnliche Muster, ohne eine exakte Übereinstimmung mit einer Signatur zu benötigen. Beim Sandboxing werden verdächtige Dateien in einer isolierten Umgebung ausgeführt, um ihr Verhalten sicher zu beobachten.

Ein Multipartite-Virus verwendet gleichzeitig mehrere Infektionswege — beispielsweise die Infektion sowohl ausführbarer Dateien als auch des Bootsektors. Dadurch wird eine vollständige Entfernung erschwert, da die Bereinigung nur eines Infektionswegs den anderen aktiv lässt und eine erneute Infektion ermöglicht. Makroviren infizieren Dokumentdateien, indem sie schädliche VBA-Makros (Visual Basic for Applications) in Microsoft-Office-Dokumente einbetten. Wird das Dokument geöffnet und sind Makros aktiviert, wird der Virus ausgeführt. Makroviren verbreiten sich leicht über E-Mail-Anhänge. Die wichtigste Abwehrmaßnahme besteht darin, Makros standardmäßig zu deaktivieren und nur digital signierte Makros vertrauenswürdiger Herausgeber zuzulassen.

Um die Verbreitung von Malware zu verhindern, sind mehrschichtige Abwehrmaßnahmen erforderlich. Bei Viren: Deaktivieren Sie die Makroausführung, prüfen Sie alle Dateiübertragungen (E-Mail-Gateway, Webproxy, USB-Scanning) und halten Sie den Endpunktschutz aktuell. Bei Würmern: Installieren Sie Patches umgehend (die meisten Wurm-Exploits zielen auf bekannte CVEs), deaktivieren Sie nicht benötigte Netzwerkprotokolle (deaktivieren Sie SMBv1), segmentieren Sie Netzwerke, um die laterale Ausbreitung einzuschränken, und setzen Sie starke Authentifizierung für alle vernetzten Dienste durch. Bei Trojanern: Setzen Sie Application Allowlisting durch, schulen Sie Benutzer darin, keine nicht autorisierte Software zu installieren, und überprüfen Sie vor der Installation die Software-Hashes. Defense in Depth fängt Bedrohungen ab, die einzelne Kontrollen übersehen.

Drive-by-Downloads treten auf, wenn der Besuch einer schädlichen oder kompromittierten Website ohne weitere Benutzeraktion außer dem Laden der Seite unbemerkt Malware installiert. Angreifer nutzen Schwachstellen in Browsern oder Plug-ins (veraltetes Flash, Java oder veraltete PDF-Reader) aus, um schädlichen Code auszuführen. Bei Watering-Hole-Angriffen werden legitime Websites kompromittiert, die von der Zielgruppe häufig besucht werden. Dort wird Drive-by-Download-Code platziert, um Besucher zu infizieren. Statt das Ziel direkt anzugreifen, „vergiftet der Angreifer die Wasserstelle“ und wartet, bis die Opfer zu ihr kommen. Zu den Abwehrmaßnahmen gehören aktuelle Browser und Plug-ins, Click-to-Play für Plug-ins sowie ein Webproxy, der bekannte schädliche Websites blockiert.

Wenn Malware erkannt wird, folgt die Reaktion dem NIST-IR-Lebenszyklus. Eindämmung: Isolieren Sie den infizierten Host sofort (trennen Sie ihn vom Netzwerk oder wenden Sie hostbasierte Firewallregeln an), um die weitere Verbreitung zu stoppen. Beseitigung: Bei schwerwiegenden Infektionen ist ein Reimaging sicherer als der Versuch einer Bereinigung; bei einer Bereinigung besteht das Risiko, dass Persistenzmechanismen überleben. Sicherung von Beweismitteln: Erstellen Sie vor dem Reimaging ein Speicherabbild und ein Festplattenabbild, wenn eine forensische Untersuchung erforderlich ist. Wiederherstellung: Stellen Sie Daten aus sauberen Backups wieder her, überprüfen Sie deren Integrität und überwachen Sie das System engmaschig auf Anzeichen einer erneuten Infektion. Dokumentieren Sie Indicators of Compromise (IoCs), um die zukünftige Erkennung zu verbessern.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Viren hängen sich an Wirtsdateien an und benötigen eine Benutzeraktion, um sich zu verbreiten; dabei verwenden sie Techniken wie Polymorphie, um der Signaturerkennung zu entgehen. Würmer verbreiten sich ohne Benutzeraktion selbstständig über Netzwerke, indem sie Schwachstellen ausnutzen, und verursachen so eine schnelle Infektion in großem Maßstab. Trojaner sind als legitime Software getarnt, um Benutzer zur Installation zu verleiten, und richten häufig Hintertüren sowie C2-Kommunikation ein. Als Nächstes untersuchen wir Ransomware und Kryptolocker im Detail.