Dateilose Malware und Living-off-the-Land-Angriffe

Herkömmliche Malware schreibt ausführbare Dateien auf die Festplatte, sodass signaturbasierte Antivirenprogramme die Möglichkeit haben, sie zu scannen und zu erkennen. Fileless Malware arbeitet vollständig im Arbeitsspeicher – oder missbraucht bereits installierte legitime Tools – und hinterlässt keine herkömmlichen Malware-Dateien, die ein Antivirenprogramm finden könnte. Dadurch sinken die Erkennungsraten signaturbasierter Tools drastisch. Sicherheitsanbieter berichten, dass dateilose Malware-Angriffe zehnmal erfolgreicher sind als dateibasierte Angriffe. Der Raubzug auf die Bangladesh Bank im Jahr 2016, die Petya/NotPetya-Varianten von 2017 und zahllose Angriffe durch staatliche Akteure nutzten dateilose Techniken, um Persistenz aufrechtzuerhalten und einer Erkennung zu entgehen.

Living-off-the-Land-Angriffe (LotL) verwenden legitime Tools und Dienstprogramme, die bereits auf dem System des Opfers vorhanden sind, um bösartige Aktionen auszuführen. Diese Tools – PowerShell, WMI, certutil, mshta, regsvr32 und rundll32 – werden vom Betriebssystem und von Sicherheitssoftware als vertrauenswürdig eingestuft, da sie legitime Zwecke erfüllen. Ein Angreifer, der ausschließlich integrierte Tools verwendet, kann sich in normale administrative Aktivitäten einfügen. Die Herausforderung für Verteidiger besteht darin, die bösartige Nutzung dieser Tools von legitimer Administrationsarbeit zu unterscheiden. Deshalb sind Verhaltensanalysen und die Berücksichtigung des Kontexts bei LotL-Techniken wirksamer als die Signaturerkennung.

PowerShell ist das am häufigsten missbrauchte LotL-Tool, da es mit minimalen Spuren bei Ausführung im Arbeitsspeicher Zugriff auf das vollständige .NET Framework, WMI und die Windows-APIs bietet. Angreifer laden PowerShell-Skripte direkt in den Arbeitsspeicher, ohne sie auf die Festplatte zu schreiben, codieren Befehle in Base64, um sie vor der Protokollierung zu verschleiern, und verwenden Funktionen wie Reflection, um .NET-Assemblys im Arbeitsspeicher zu laden. Die Frameworks Empire und Cobalt Strike stützen sich bei der Aktivität nach der Kompromittierung stark auf PowerShell. Zu den Abwehrmaßnahmen gehören der PowerShell Constrained Language Mode, ScriptBlock Logging (protokolliert den decodierten Skriptinhalt), Module Logging und die Beschränkung der Benutzer, die PowerShell über Gruppenrichtlinien ausführen dürfen.

WMI (Windows Management Instrumentation) ist eine leistungsfähige Windows-Funktion zur Systemverwaltung, die Angreifer für Persistenz und laterale Bewegung missbrauchen. Ein WMI-Ereignisabonnement löst einen Befehl aus, wenn ein bestimmtes Ereignis eintritt (beispielsweise alle fünf Minuten, bei der Anmeldung oder beim Start eines bestimmten Prozesses). Diese Abonnements überstehen Neustarts, werden im WMI-Repository gespeichert und erscheinen nicht als herkömmliche geplante Tasks oder Registry-Run-Keys – dadurch umgehen sie viele Tools zur Erkennung von Persistenz. Angreifer können WMI außerdem verwenden, um Prozesse auf Remotesystemen über DCOM (Port 135) auszuführen, und so laterale Bewegungen ohne Netzwerkfreigaben zu ermöglichen.

Prozessinjektion ermöglicht es Malware, bösartigen Code im Adressraum eines legitimen, vertrauenswürdigen Prozesses auszuführen (explorer.exe, svchost.exe, notepad.exe). Der bösartige Code übernimmt die Berechtigungen und Identität des Prozesses, sodass Netzwerkverbindungen scheinbar von einer vertrauenswürdigen Anwendung stammen. Zu den gängigen Injektionstechniken gehören DLL-Injektion (Laden einer bösartigen DLL in einen anderen Prozess), Process Hollowing (Erstellen eines angehaltenen Prozesses, Aufheben der Zuordnung seines Codes und Ersetzen durch bösartigen Code) und Reflective DLL Injection (Laden einer DLL direkt aus dem Arbeitsspeicher, ohne sie auf die Festplatte zu schreiben). EDR-Tools erkennen Injektionen, indem sie Sequenzen von API-Aufrufen überwachen (OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread).

Viele dateilose Angriffsketten beginnen mit einem bösartigen Office-Dokument, das VBA-Makros enthält. Wenn der Benutzer das Dokument öffnet und Makros aktiviert (häufig angelockt durch eine Nachricht wie „Inhalt aktivieren, um dieses Dokument anzuzeigen“), führt das Makro PowerShell aus, um eine Payload direkt in den Arbeitsspeicher herunterzuladen und auszuführen. Die Payload wird nie auf der Festplatte gespeichert – nur das ursprüngliche Office-Dokument wird dort abgelegt. Deshalb betont die Security+-Prüfung, Makros zu deaktivieren und ASR-Regeln (Attack Surface Reduction) bereitzustellen. Moderne Phishing-Frameworks für Angreifer-in-der-Mitte-Angriffe (wie Evilginx2) liefern nach dem Abfangen von Zugangsdaten ebenfalls bösartige Dokumente aus, um RATs bereitzustellen.

AMSI (Antimalware Scan Interface) ist eine Windows-API, über die Anwendungen (PowerShell, VBScript, JScript, Office) Inhalte zur Laufzeit an die installierte Antiviren-Engine zur Überprüfung übermitteln können – auch bevor die Inhalte auf die Festplatte geschrieben werden. AMSI ermöglicht es AV-Anbietern, Skriptinhalte zu scannen, die bei einer dateibasierten Prüfung ansonsten unsichtbar blieben. Angreifer versuchen, AMSI zu umgehen, indem sie die amsi.dll im Arbeitsspeicher patchen, sodass für alle Übermittlungen das Ergebnis „sauber“ zurückgegeben wird, oder indem sie Skriptinhalte verschleiern, um eine Übereinstimmung mit Signaturen zu verhindern. EDR-Tools überwachen Versuche, AMSI zu patchen, als Indikator für dateilose Angriffsaktivitäten.

Die Erkennung dateiloser Malware erfordert eine Umstellung von dateibasierter Erkennung auf Verhaltensüberwachung. Zu den wichtigsten Erkennungsstrategien gehören: PowerShell ScriptBlock Logging erfasst den decodierten Skriptinhalt, selbst wenn er in der Befehlszeile codiert wurde; Sysmon protokolliert die Prozesserstellung mit vollständigen Befehlszeilen, Netzwerkverbindungen mit Prozesszuordnung und Änderungen an der Registry; Verhaltensregeln von EDR melden verdächtige Prozessbeziehungen (Word startet PowerShell, PowerShell startet cmd, certutil lädt ausführbare Dateien herunter); und Windows Event Forwarding übermittelt diese Protokolle zur Korrelation und langfristigen Aufbewahrung an ein zentrales SIEM.

Organisationen können die Angriffsfläche für LotL verringern, indem sie einschränken, welche Benutzer leistungsfähige Tools ausführen dürfen. Der PowerShell Constrained Language Mode beschränkt .NET-Aufrufe, COM-Objekte und Reflection, auf die sich Angreifer stützen. AppLocker und WDAC (Windows Defender Application Control) können verhindern, dass bestimmte Binärdateien von Benutzern ohne Administratorrechte ausgeführt werden. Das LOLBAS-Projekt katalogisiert bekannte LotL-Binärdateien und ihre Angriffstechniken und hilft Verteidigern dadurch, die zu überwachenden oder einzuschränkenden Binärdateien zu identifizieren. Nicht alle LotL-Binärdateien können blockiert werden (viele werden für die Betriebssystemfunktionen benötigt), aber ihre Nutzung lässt sich im jeweiligen Kontext überwachen.

Das MITRE-ATT&CK-Framework dokumentiert dateilose Techniken und LotL-Techniken ausführlich. Zu den wichtigsten Untertechniken gehören: T1059.001 (PowerShell), T1047 (WMI-Ausführung), T1055 (Prozessinjektion), T1140 (Dateien deobfuskieren/decodieren), T1003.001 (LSASS-Speicher für Credential Dumping) und T1546.003 (WMI-Ereignisabonnement für Persistenz). Wenn Sie Ihre Erkennungsfunktionen mithilfe des ATT&CK Navigators diesen Techniken zuordnen, werden Abdeckungslücken sichtbar und erhalten Sie Anhaltspunkte für die Entwicklung von SIEM-Regeln. Das Framework stellt außerdem für jede Technik Anleitungen zur Abwehr und Erkennung bereit.

Eine mehrschichtige Abwehrstrategie gegen dateilose Malware umfasst: die Aktivierung der PowerShell-Protokollierung (ScriptBlock, Module, Transcription), die Bereitstellung von Sysmon mit einer umfassenden Konfiguration, die Implementierung von AMSI mit einer aktuellen AV-Engine, die Durchsetzung des PowerShell Constrained Language Mode über WDAC, die Einschränkung der Makroausführung in Office-Dokumenten über Gruppenrichtlinien, die Bereitstellung von EDR mit Funktionen zur Verhaltenserkennung sowie die Weiterleitung aller Protokolle an ein SIEM mit Erkennungsregeln für bekannte bösartige Prozessketten. Die Kombination aus der Einschränkung der Angriffsfläche und einer verbesserten Transparenz erschwert die Ausführung dateiloser Angriffe ohne Entdeckung erheblich.

In dieser Lektion haben Sie gelernt: dateilose Malware arbeitet im Arbeitsspeicher und missbraucht legitime Betriebssystemtools wie PowerShell, WMI und certutil, um einer signaturbasierten Erkennung zu entgehen; Techniken zur Prozessinjektion verbergen bösartigen Code in vertrauenswürdigen Prozessen, indem sie die Windows-APIs zur Speicherverwaltung ausnutzen; und verhaltensbasierte Erkennung durch SIEM, Sysmon und EDR bietet in Kombination mit PowerShell-Protokollierung und AMSI die stärkste Abwehr gegen diese Angriffsketten, die Signaturerkennung umgehen. Als Nächstes untersuchen wir den Unterschied zwischen Schwachstellen-Scanning und Penetrationstests.