Rootkits, Spyware und Keylogger

Während viele Malware-Arten ihre Präsenz durch sichtbare Schäden erkennen lassen, ist eine Klasse von Schadsoftware speziell darauf ausgelegt, für Benutzer, Administratoren und Sicherheitstools verborgen zu bleiben und gleichzeitig unbemerkt die Ziele des Angreifers zu erreichen. Rootkits, Spyware und Keylogger bilden das unauffällige Ende des Malware-Spektrums. Ihre Wirksamkeit beruht auf dauerhafter Präsenz ohne Entdeckung – sie können monatelang oder jahrelang aktiv bleiben und unbemerkt Zugangsdaten und Daten exfiltrieren. Das Verständnis ihrer Verbergungstechniken ist für forensische Untersuchungen und die Auswahl von Erkennungstools, die finden können, was Standard-Scans übersehen, unerlässlich.

Ein Rootkit verändert das Betriebssystem oder systemnahe Software, um die Präsenz des Angreifers zu verbergen. Der Begriff setzt sich aus dem Unix-Begriff „root“ (höchste Berechtigungsstufe) und „kit“ (Werkzeugsammlung) zusammen. Rootkits fangen Funktionen des Betriebssystems ab, um Dateien, Registrierungsschlüssel, Prozesse und Netzwerkverbindungen vor den standardmäßigen Systemtools zu verbergen. Ein Prozess, in dem ein Rootkit ausgeführt wird, erscheint möglicherweise nicht im Task-Manager, seine Netzwerkverbindungen werden in netstat nicht angezeigt und seine Dateien erscheinen nicht in Verzeichnisauflistungen – denn all diese Tools fragen das Betriebssystem über dieselben APIs ab, die das Rootkit kompromittiert hat. Rootkits sind innerhalb des infizierten Betriebssystems äußerst schwer zu erkennen.

Rootkits werden danach klassifiziert, wo sie im System arbeiten. Rootkits im Benutzermodus (auf Anwendungsebene) laufen im Benutzerbereich und hängen sich in API-Aufrufe ein; sie sind am einfachsten zu erkennen und zu entfernen. Rootkits im Kernelmodus arbeiten mit Berechtigungen auf Betriebssystemebene und verändern Kernel-Datenstrukturen – sie sind äußerst unauffällig und benötigen zur Installation einen Treiber oder einen Kernel-Exploit. Ein Bootkit (MBR-Rootkit) infiziert den Master Boot Record oder den Volume Boot Record und wird vor dem Betriebssystem geladen – während des Betriebs bleibt es für das Betriebssystem unsichtbar. Hypervisor-Rootkits (auf VM-Basis) befinden sich unterhalb des Betriebssystems und führen das ursprüngliche Betriebssystem als virtuelle Maschine aus – theoretisch sind sie innerhalb des Gastsystems nicht erkennbar.

Da Rootkits die eigenen Berichtmechanismen des Betriebssystems kompromittieren, muss die Erkennung außerhalb des infizierten Betriebssystems erfolgen. Zu den Techniken gehören: Cross-View-Analyse (der direkte Vergleich von Kernel-Datenstrukturen im Arbeitsspeicher mit den von APIs gemeldeten Daten – Abweichungen weisen auf verborgene Elemente hin), Integritätsprüfung (der Vergleich von Hashes kritischer Systemdateien mit bekannten, vertrauenswürdigen Ausgangswerten), Offline-Scanning (das Starten von einem sauberen USB-Datenträger und Scannen des Laufwerks) sowie Secure Boot mit TPM-Attestierung (die kryptografische Überprüfung, dass die Boot-Kette nicht verändert wurde). Zu den Tools gehören GMER, Malwarebytes Anti-Rootkit und chkrootkit/rkhunter für Linux.

Spyware überwacht heimlich die Aktivitäten von Benutzern und überträgt Informationen ohne deren Wissen oder Zustimmung an den Angreifer. Sie kann den Browserverlauf, Suchanfragen, Screenshots, die Nutzung von Anwendungen und Standortdaten erfassen. Einige Spyware-Produkte werden kommerziell als „Überwachungssoftware“ für die elterliche Kontrolle oder die Überwachung von Mitarbeitenden vermarktet (die rechtliche Zulässigkeit variiert jedoch je nach Rechtsordnung). Kriminelle und staatliche Akteure nutzen bösartige Spyware, um vertrauliche Geschäftsdaten, personenbezogene Daten und geistiges Eigentum unbemerkt zu exfiltrieren. Spyware wird häufig mit kostenloser Software gebündelt (PUPs – Potentially Unwanted Programs), wodurch sich ihre Herkunft nur schwer feststellen lässt.

Stalkerware ist Spyware, die zur verdeckten Überwachung von Partnerinnen und Partnern entwickelt wurde und als Überwachungswerkzeug für Partner an Missbrauchstäter vermarktet wird. Sie erfasst Standortdaten, Anrufe, Textnachrichten und Aktivitäten in sozialen Medien. Kommerzielle Spyware (wie Pegasus von NSO Group, Candiru und FinFisher) wird an Regierungen und Strafverfolgungsbehörden verkauft – häufig mit Journalistinnen und Journalisten, Aktivistinnen und Aktivisten sowie Dissidentinnen und Dissidenten als Ziel. Pegasus nutzte Zero-Click-Schwachstellen in iPhones aus, um sich ohne Interaktion des Benutzers zu installieren. Die Coalition Against Stalkerware und Sicherheitsforscher haben daran gearbeitet, die Erkennung von Stalkerware in verbreitete AV-Produkte zu integrieren. Die Erkennung erfordert häufig eine forensische Analyse des Geräts mit Tools wie dem Mobile Verification Toolkit (MVT) von Amnesty International.

Ein Keylogger zeichnet jeden Tastendruck des Benutzers auf und erfasst dadurch Passwörter, Nachrichten, Kreditkartennummern und alle anderen eingegebenen Daten. Softwarebasierte Keylogger arbeiten auf verschiedenen Ebenen: über Hooks im Benutzermodus (SetWindowsHookEx API), über Treiber im Kernelmodus (unauffälliger) oder über Form-Grabbing-Hooks, die Browser-Formularübermittlungen vor der Verschlüsselung abfangen. Hardware-Keylogger sind physische Geräte, die zwischen Tastatur und Computer angeschlossen werden – für softwarebasierte Erkennung vollständig unsichtbar. Sie speichern die Tastatureingaben zur späteren Abholung im internen Speicher. Organisationen, die Hochsicherheitsbereiche schützen, sollten Hardwareanschlüsse regelmäßig auf nicht autorisierte Geräte überprüfen.

Form Grabber fangen Daten ab, die in Browserformularen übermittelt werden, bevor sie verschlüsselt und über das Netzwerk gesendet werden – darunter Benutzernamen, Passwörter und Kreditkartennummern direkt bei der Eingabe. Zeus (Zbot), ein berüchtigter Banking-Trojaner, nutzte in Browserprozesse injizierte Form-Grabbing-Hooks. Anders als Sniffer auf Netzwerkebene, die durch HTTPS abgewehrt werden, arbeiten Form Grabber auf Anwendungsebene, wodurch Verschlüsselung wirkungslos ist. Typischerweise hängen sie sich in Browserfunktionen wie InternetReadFile ein oder injizieren Code in den Speicher des Browserprozesses. Moderne EDR-Tools erkennen Muster bei der Prozessinjektion und beim Einhängen in Browser-APIs, die auf Aktivitäten von Form Grabbern hindeuten.

Adware zeigt unerwünschte Werbung an und kann den Browserverkehr umleiten, um Einnahmen für ihre Betreiber zu generieren. Adware ist zwar weniger zerstörerisch als andere Malware, beeinträchtigt jedoch die Systemleistung und den Datenschutz und birgt Sicherheitsrisiken, da sie auf bösartige Websites umleitet oder mit gefährlicherer Software gebündelt wird. PUPs (Potentially Unwanted Programs) sind Softwareprogramme, die Benutzer möglicherweise nicht absichtlich installiert haben und die häufig über irreführende Installationsdialoge mit kostenloser Software gebündelt werden. PUPs befinden sich in einer Grauzone – sie sind möglicherweise nicht ausdrücklich bösartig, verbrauchen jedoch Ressourcen, beeinträchtigen den Datenschutz und schaffen einen Weg für gefährlichere Infektionen.

Sobald Malware mit ausreichenden Berechtigungen installiert wurde, extrahiert Credential Dumping gespeicherte Zugangsdaten aus dem Arbeitsspeicher oder von der Festplatte, um sich lateral im Netzwerk zu bewegen. Der Windows-Prozess LSASS speichert Zugangsdaten für Single Sign-on im Arbeitsspeicher. Tools wie Mimikatz extrahieren Klartextpasswörter oder NTLM-Hashes aus dem LSASS-Speicher. Gegenmaßnahmen für Verteidiger sind Credential Guard (ab Windows 10; verwendet Virtualization-Based Security, um LSASS in einem sicheren Container zu isolieren), die Mitgliedschaft in der Gruppe Protected Users (verhindert das Zwischenspeichern von Zugangsdaten) sowie EDR-Regeln, die den Speicherzugriff auf LSASS durch Prozesse außerhalb des Systems melden.

Der Versuch, ein Rootkit aus einem laufenden System zu entfernen, ist riskant – das Rootkit verbirgt sich aktiv und kann Entfernungsversuche erkennen. Die bewährte Vorgehensweise bei der Behebung eines Rootkit-Befalls besteht darin, das System anhand einer vertrauenswürdigen Ausgangsbasis neu aufzusetzen, nachdem forensische Beweise gesichert wurden. Falls ein vollständiges Neuaufsetzen nicht sofort möglich ist: Starten Sie das System von einem vertrauenswürdigen externen Medium (USB-Stick mit Offline-Scanner), führen Sie Rootkit-Erkennungstools aus, bevor das Betriebssystem geladen wird, dokumentieren Sie alle Artefakte und planen Sie das Neuaufsetzen so bald wie möglich. Verwenden Sie bei Bootkits Secure Boot mit UEFI, um nicht signierte Bootloader zu verhindern, und ziehen Sie in Betracht, vor der Neuinstallation des Betriebssystems Nullen in den MBR zu schreiben.

Testen Sie Ihr Verständnis der Konzepte aus CompTIA Security+ (SY0-701) in dieser Lektion.

In dieser Lektion haben Sie gelernt: Rootkits umgehen Betriebssystem-APIs, um Prozesse, Dateien und Netzwerkverbindungen zu verbergen, wodurch die Erkennung innerhalb des infizierten Betriebssystems unzuverlässig wird und Offline-Scans oder eine Cross-View-Analyse erforderlich sind; Spyware und Keylogger schleusen unbemerkt Zugangsdaten und Daten aus und weisen Verhaltensindikatoren auf, die durch Netzwerküberwachung und die Prozessinspektion von EDR erkannt werden können; und Tools zum Credential Dumping wie Mimikatz, die LSASS angreifen, werden durch Windows Credential Guard und Gruppenrichtlinien für die Gruppe Protected Users eingedämmt. Als Nächstes untersuchen wir dateilose Malware und Living-off-the-Land-Angriffe.