Malware-Klassifikation

4.1 Malware-Triage und Klassifikation

Naming vs. Klassifikation

Klassifikation beschreibt ein Sample entlang mehrerer Achsen — was es tut, wie es sich verbreitet, wo es läuft. Naming vergibt ein kompaktes, oft herstellerspezifisches Label. Viele Produkte folgen dem CARO-Schema (Typ, Plattform, Familie, Variante, optionale Suffixe). Weil Hersteller unterschiedlich benennen, sind Äquivalenz-Lookups oft nötig.

Die 7 Klassifikationskriterien (Multi-Label)

Häufige Malware-Familien

4.2 Struktur eines Virus

1971 tauchte im ARPANET der Creeper auf — ein experimentelles, selbstreplizierendes Programm von Bob Thomas (BBN), das DEC-PDP-10-Maschinen mit TENEX infizierte und die Nachricht „I'M THE CREEPER. CATCH ME IF YOU CAN!" hinterließ. Die Antwort darauf, Reaper, war das erste Antivirenprogramm.

Die drei Komponenten

Die 4 Lebenszyklus-Phasen

1. 1

   Dormant Phase

   Der Virus ist auf dem Zielsystem, aber inaktiv. Er wartet auf den Trigger — ein Datum oder eine Nutzeraktion. Nicht jeder Virus hat diese Phase.

2. 2

   Propagation Phase

   Der Virus repliziert sich in andere Anwendungen oder Systembereiche. Die Kopien müssen keine exakten Duplikate sein — viele Viren mutieren, um der Erkennung zu entgehen.

3. 3

   Triggering Phase

   Der dormante Virus wird aktiviert: durch Datum, Nutzeraktion oder Systemereignis (etwa das Erreichen einer bestimmten Replikationszahl).

4. 4

   Execution Phase

   Die Payload wird ausgeführt — von Datenlöschung und Systemabsturz bis zu harmlosen Bildschirmnachrichten.

4.3 Antivirus — Erkennungstechniken

Rolle des Antivirus bei der Klassifikation

• Erstkategorisierung: Einordnung in Typen wie Ransomware oder Wurm anhand der Erkennungstechniken
• Dynamische Klassifikation: Verhaltensbasierte Einstufung auch ohne bekannte Signatur — wichtig für Fileless Malware und APTs
• Globale Threat Intelligence: Weitergabe neuer Samples an Plattformen wie VirusTotal
• Signature Updates: Aufnahme klassifizierter Malware in die Datenbank für schnellere künftige Erkennung

4.4 VirusTotal

VirusTotal ist ein kostenloser Onlinedienst, der Dateien und URLs mit über 70 Antiviren-Engines und Online-Scannern prüft und so einen umfassenden Überblick liefert, wie verschiedene Hersteller ein Sample einstufen.

$ sha256sum suspicious_file.exe
560d94675723166bf0cfa13a932836263c52a4ad16e0c670e89efdeb62391526

# Hash in die VirusTotal-Suche einfügen — die Datei selbst
# verlässt das Unternehmen nicht.

4.5 YARA

YARA ist ein Open-Source-Werkzeug, mit dem Analysten eigene Regeln auf Basis von Text- oder Binärmustern definieren. Die Regeln lassen sich auf Dateien, Prozesse und Speicherabbilder anwenden — YARA ist damit sowohl in der statischen als auch in der dynamischen Analyse nützlich.

Kernmerkmale

Aufbau einer Regel

rule ExampleRule
{
    meta:                          // optional: Autor, Datum, Beschreibung
        author = "AnalystName"
        description = "Detects sample malware based on a specific signature"
    strings:                       // Text-, Hex- oder Regex-Muster
        $string1 = "malicious_signature"
        $hex_string = { 6A 40 68 00 30 00 00 }
    condition:                     // wann gilt die Datei als Treffer?
        $string1 or $hex_string
}

Diese Regel markiert jede Datei, die entweder den String malicious_signature oder die angegebene Hex-Sequenz enthält.

4.6 KI-gestützte Malware-Analyse

Klassische Methoden stoßen bei der schieren Menge und Wandlungsgeschwindigkeit moderner Malware an Grenzen. KI ergänzt sie — ist aber ein zweischneidiges Schwert: Auch Angreifer nutzen sie. BlackMamba, ein polymorpher Keylogger-Generator auf Basis generativer KI, ist das bekannte Beispiel.

Verfahren