Ein kompakter Leitfaden zur Analyse von Malware

Bei der Erwähnung von Malware denken die meisten Menschen an Viren und Trojaner, die auf Computern Schaden anrichten können. Allerdings umfasst der Begriff «Malware» eine breite Palette schädlicher Codes, von einfachen Viren bis hin zu komplexen Spyware- und Ransomware-Programmen. Um sich vor diesen Bedrohungen zu schützen, ist es wichtig, zu verstehen, was Malware ist und wie sie funktioniert. Hier kommt das Reverse Engineering von Malware ins Spiel: Durch das Verständnis der Funktionsweise von Malware können Strategien entwickelt werden, um ein effizientes und präventives IT-Abwehrsystem einzurichten. Beim Reverse Engineering von Malware handelt es sich um den Prozess der Analyse von schädlichem Code, um seine Funktionalität und seinen Zweck zu verstehen.

Das Reverse Engineering von Malware ist herausfordernd, da Malware oft absichtlich schwer analysierbar gestaltet wird. In der Regel ist spezielle Reverse Engineering-Software erforderlich. Angreifer verwenden Tarnmechanismen, Verschlüsselung und andere Tricks, um die Programme komplexer zu machen. Zudem ändern Malware-Autoren des Öfteren den Code, um Reverse Engineering zu erschweren.

Beim Reverse Engineering werden in der Regel fünf Schritte befolgt, um den Prozess erfolgreich durchzuführen:

Beschaffung einer Probe der Malware aus dem Internet oder von anderen Quellen.
Verwendung eines Disassemblers, um den Code der Malware zu analysieren. Es gibt verschiedene Programme, die zu diesem Zweck verwendet werden können.
Analyse des Codes der Malware mit Hilfe des Disassemblers, um zu verstehen, wie die Malware funktioniert und was sie tut.
Schaffung einer sicheren Umgebung, in der die Malware ausgeführt werden kann, um ihr Verhalten zu beobachten, ohne den eigenen Computer zu gefährden.
Analyse der Ergebnisse, um sie mit anderen interessierten Personen zu teilen und das erlangte Wissen sinnvoll einzusetzen.

Hacker nutzen Reverse Engineering oft, um Sicherheitslücken in Systemen und Geräten oder in Software zu finden. In vielen Fällen beschaffen sich Hacker eine Kopie des Programms, die sie angreifen möchten, und analysieren es, um Sicherheitsfunktionen zu umgehen oder Schwachstellen zu missbrauchen. Reverse Engineering wird von Hackern auch zur Erstellung von Raubkopien geschützter Software oder Hardware verwendet. Manchmal erstellen Cyberkriminelle sogar verbesserte Versionen bestehender Produkte mit zusätzlichen Funktionen oder besserer Leistung. Eine weitere, unethische Anwendung des Reverse Engineering besteht darin, «Malware-Klone» zu erstellen. Dabei handelt es sich um Kopien bestehender Malware-Proben, bei denen der Code geringfügig geändert wird, um eine Erkennung durch Antivirensoftware zu vermeiden. Eine zusätzliche Verwendung des Reverse Engineering von Malware besteht darin, «trojanisierte» Versionen legitimer Software zu erstellen. Dabei wird bösartiger Code zu einer offiziellen Software hinzugefügt, wie z.B. einem Spiel oder Dienstprogramm. Das resultierende trojanisierte Programm führt bei der Ausführung schädliche Aktionen aus, wie das Stehlen von Passwörtern oder das Löschen von Dateien. Schliesslich stellt die Erstellung von «Botnets» eine mögliche Nutzung des Reverse Engineering von Malware dar. Ein Botnetz besteht aus einer Sammlung von mit Malware infizierten Computern, die von einem externen Angreifer kontrolliert werden. Der Angreifer kann das Botnetz nutzen, um verteilte Denial-of-Service (DDoS)-Angriffe durchzuführen, Spam-E-Mails zu versenden oder sensible Informationen zu stehlen.

Reverse Engineering ist somit ein wichtiges Verfahren, das an sich weder gut noch schlecht ist, sondern – je nach Anwendung – auch dazu dienen kann, die Sicherheit von IT-Infrastrukturen zu stärken.