Was ist Malware?
Bei Malware (kurz für "malicious software", engl. für "schädliche Software") handelt es sich um Computercode, der programmierbare Geräte, Server oder Netzwerke schädigen oder ausnutzen soll. Die böswillige Absicht von Malware kann viele Formen annehmen, darunter Zugriffsverweigerung, Zerstörung oder Diebstahl von Daten, Diebstahl von Geldwerten, Übernahme von Computerressourcen, Verbreitung von Fehlinformationen, Verbreitung von Malware und viele andere schädliche Aktionen. Cyber-Kriminelle verbreiten Malware, um an Geld zu gelangen, Spionage zu betreiben, Geheimnisse auszuspionieren bzw. zu stehlen oder einem Mitbewerber bzw. Gegner zu schaden.
Da heute Millionen programmierbare Geräte über das Internet verbunden sind, spielt Malware bei Cyber-Kriminalität eine wichtige und sogar zunehmende Rolle. Cyber-Kriminelle verteilen Malware mit verschiedenen Methoden:
- Sie infizieren eine beliebte Website, die dann die Malware an die Besucher weiterleitet.
- Sie versenden Malware als scheinbar legitime Datei per E-Mail.
- Sie fügen schädlichen Code in vertrauenswürdige Anwendungen und Tools ein, z. B. in Dienstprogramme oder Software-Aktualisierungen.
Die fünf Kategorien von Malware Angriffen
Je nach Absicht der Angreifer fallen Malware-Angriffe in der Regel in eine von fünf Kategorien:
Spyware und Adware
Adware erfasst Informationen über das Surfverhalten eines Benutzers und zeigt Pop-Up-Werbung an. Pornware ist eine Form von Adware, die pornografische Bilder und Werbung auf einen Computer herunterlädt und möglicherweise automatisch Telefonnummern von pornografischen Dienstleistern anwählt. Spyware erfasst ebenfalls Informationen. Dabei kann es sich um den Browser-Verlauf des Benutzers, aber auch um vertraulichere Daten wie Kennwörter und Kontonummern handeln. In einigen Fällen sucht die Spyware nach sensiblen Inhalten wie Kundenlisten oder Finanzberichten. Spyware und Adware tarnen sich häufig als legitime Anwendungen, z. B. als Malware-Schutzprogramme.
Botnet-Malware
Botnet-Malware erstellt Netzwerke aus übernommenen Computern, die per Fernzugriff gesteuert werden können. Diese Netzwerke (sogenannte Botnets) können aus hunderten oder tausenden Computern bestehen, die eine der folgenden böswilligen Aktivitäten ausführen:
- Versenden von Spam-E-Mails
- Schürfen von Kryptowährungen (siehe Cryptojacking unten)
- Starten von DDoS-Angriffen (Distributed Denial-of-Service), um das Netzwerk eines Unternehmens zu stören oder zu deaktivieren
- Verteilen von Malware, um weitere Botnets zu erstellen
Ransomware
Ransomware wurde im Jahr 2016 bekannt, als eine Welle aus Ransomware-Exploits Computer weltweit verschlüsselte und für die Entschlüsselung eine Zahlung in Bitcoin oder anderen Kryptowährungen forderte. Eines der berüchtigsten Ransomware-Exemplare war WannaCry/WannaCryptor, das im Mai 2017 große Unternehmen und Organisationen auf der ganzen Welt angriff, darunter den britischen National Health Service (NHS). Die Angreifer forderten für den Entschlüsselungsschlüssel jedes Computers 300 US-Dollar in Bitcoin. Allerdings lieferten sie nicht immer den Schlüssel. Die Ransomware brachte NHS-Krankenhäuser zum Erliegen und betraf hunderttausende Unternehmen und Einzelpersonen, die wertvolle Daten verloren. Die Ransomware-Angriffe gingen im Jahr 2018 zurück, da die Angreifer sich stärker auf Cryptojacking-Malware konzentrierten.
Cryptojacking- oder Krypto-Mining-Malware
Cryptojacking- oder Krypto-Mining-Malware missbraucht einen Computer oder ein Computernetzwerk, um Kryptowährungen zu generieren (zu "schürfen" bzw. zu "minen"). Mining-Programme verbrauchen viel Rechenleistung, Bandbreite und Energie. Die Auswirkungen auf die Opfer: Es steht weniger Rechenleistung für die zulässige Computernutzung zur Verfügung, und die Stromkosten steigen. Durch die intensive Datenverarbeitung kann auch die Hardware des Opfers beeinträchtigt werden. Malware-Angriffe können auch Daten stehlen oder manipulieren bzw. andere Malware platzieren, die später genutzt werden soll. Einige Cryptojacker stehlen auch die Krytowährung der Opfer.
Dateilose Malware
Dateilose Malware ist nur im Arbeitsspeicher des Computers aktiv und hinterlässt keine Dateien, die von Virenschutz-Software gefunden werden könnten. Die Operation "RogueRobin" ist ein Beispiel für einen dateilosen Malware-Angriff. RogueRobin beginnt mit einer Phishing-E-Mail mit böswilligen Microsoft Excel-Webabfrage-Dateien. Diese Dateien zwingen den Computer, PowerShell-Skripts auszuführen, die dem Angreifer eine Backdoor zum System des Opfers bieten. Wenn der Computer ausgeschaltet wird, ist die Malware verschwunden, die Backdoor bleibt jedoch bestehen.
Mithilfe vertrauenswürdiger Technologien wie PowerShell, Excel oder der Windows-Verwaltungsinstrumentation können Hacker mit dateiloser Malware herkömmliche Sicherheitssoftware umgehen.
Da einige Anwendungen auf dauerhafte Ausführung ausgelegt sind, können dateilose Malware-Skripts tage- und wochenlang oder sogar noch länger ohne Unterbrechung ausgeführt werden. Ein Finanzdienstleister entdeckte zum Beispiel dateilose Malware, die auf den Domänen-Controllern ausgeführt wurde und die Anmeldeinformationen von Systemadministratoren und anderen Personen mit Zugriff auf tiefere Systemebenen erfasste.
Best Practices zum Schutz vor Malware
Dies sind die wichtigsten Strategien, mit denen Einzelpersonen und Unternehmen ihren Schutz vor Malware verbessern können:
- Sichern Sie Ihre Daten häufig. Wenn eine Datei oder Datenbank beschädigt ist, kann sie aus einer aktuellen Sicherung wiederhergestellt werden. Bewahren Sie immer mehrere Sicherungen für einen bestimmten Zeitraum auf, und testen Sie sie regelmäßig, um sicherzustellen, dass sie ordnungsgemäß funktionieren.
- Deaktivieren Sie Makros. Deaktivieren Sie Verwaltungstools und Browser-Plug-Ins, die (gerade) nicht benötigt werden.
- Installieren Sie Software zur Malware-Erkennung, und halten Sie sie auf dem neuesten Stand. Hochentwickelte Programme und Dienste zur Malware-Erkennung nutzen mehrere Methoden, um Malware zu erkennen und darauf zu reagieren. Dazu gehören:
- Sandbox-Analysen oder Aktivierung potenzieller Viren in einer isolierten Umgebung
- Reputationsbasierte Filterung (z. B. Filterung basierend auf der Reputation der Versand-IP-Adresse)
- Signaturbasierte Filterung zur Identifizierung von Malware, indem Merkmale mit bekannter Malware verglichen werden
- Verhaltensbasierte Analyse-Software, die mithilfe von künstlicher Intelligenz und Machine Learning ein Profil für das normale Benutzerverhalten erstellt und die ungewöhnliche Nutzung von Anwendungen erkennt
- Informieren Sie sich über Malware-Bedrohungen. Der wichtigste Faktor bei der Verhinderung aller Arten von Malware-Infektionen sind die Benutzer selbst. Diese müssen sich der Risiken bewusst sein, die mit dem Herunterladen und Installieren nicht autorisierter Anwendungen, dem Anschließen von USB-Sticks an ihren Computern oder dem Surfen auf nicht vertrauenswürdigen Websites verbunden sind.
Es wird empfohlen, Benutzerschulungen zu sicheren Internet- und Social-Media-Praktiken durchzuführen. Es ist hilfreich, Benutzer regelmäßig über die neuesten Malware-Bedrohungen zu informieren und an sichere Verhaltensweisen zu erinnern. IT-Mitarbeiter können ihre Sicherheitskenntnisse verbessern, indem sie an einem Trellix-Webinar teilnehmen, Trellix-Blogs lesen und die Cyberthreats-Reports des Trellix Advanced Research Center lesen.