Malware Flashcards
1
Q
Definition Malware:
A
Software mit bösartiger Wirkung
2
Q
Einfache Einordnung von Malware:
A
- Replikation
- Populationswachstum
- Parasitismus
3
Q
Replikation (Einordnung von Malware):
A
- Malware versucht sich aktiv zu verbreiten (z.B. Herstellen von Kopien oder neuen Instanzen)
4
Q
Populationswachstum (Einordnung von Malware):
A
- beschreibt die Veränderung der Anzahl der Malware-Instanzen aufgrund von Replikation
5
Q
Parasitismus: (Einordnung von Malware):
A
- Malware benötigt einen Wirt um zu existieren
- z.B. Bootblock-Code, Source-Code
6
Q
Malware-Typ: logic Bomb
A
- Malware bestehend aus
- Nutzlast: beliebig böswillige Aktivität
- Auslöser: boolesche Bedingung, die entscheidet, ob die Nutzöast ausgeführt wird
- i.d.R. klein und schwer auffindbar im Source-Code verborgen
- Replikation: nein
- Populationswachstum: nein
- Parasitismus: möglich
7
Q
Malware-Typ, Trojanisches Pferd:
A
- Programm, dass eine vom Nutzer gewünschte Funktionalität besitzt, sowie eine vom Benutzer nicht gewünschhte Funktionalität
- wird verborgen und ohne Einwilligung des Nutzers ausgeführt
- Replikation: nein
- Populationswachstum: nein
- Parasitismus: ja
8
Q
Malware-Typ, Hintertür:
A
- ist speziell dafür vorgesehen die Sicherheitsmaßnahmen des Systems zu umgehen auf dem sie existiert
- Hintertüren könne in Programme eingefügt sein (Trojanisches Pferd) oder eigenständig existieren
- Replikation: nein
- Populationswachstum: nein
- Parasitismus: möglich
9
Q
Malware-Typ, Virus:
A
- Malware die sicg beim Ausführen verbreitet, indem sie sich selbst in Wirten einnistet, diese also infiziert
- initiale Infektion von einem Dropper bezeichnet (trojaninsches Pferd)
- Replikation: ja
- Populationswachstum: positiv
- Parasitismus: ja
10
Q
Malware-Typ, Wurm:
A
- Malware, die sich beim Ausführen verbreitet, indem sie sich über ein netzwerk in Wirtssystemen einnistet
- Wurm existiert eigenständig als Wirtssystem
- Replikation: ja
- Populationswachstum: positiv
- Parasitismus: nein
11
Q
Malware Typ Kaninchen:
A
- Malware die sich möglichst schnell repliziert, um Ressourcen des Wirtssystems zu erschöpfen
- Replikation: ja
- Populationswachstum: positiv
- Parasitismus: nein
12
Q
Malware-Typ, Spyware:
A
- Malware, die ohne Einwilligung des Nutzers vertrauliche oder sensitive Daten vom Wirtssystem über das Netzwerk zu einem verborgenen Empfänger sendet
- i.d.R. mit gutartiger Software gebündelt
- Replikation: nein
- Populationswachstum: keines
- Parasitismus: nein
13
Q
Malware Typ, Adware:
A
- Marketingorientierte Spyware, die gelegentlich gezielte Werbung anzeigt
- das Konsumprofil des Nutzers ermittelt und ohne Einwilligung des Nutzers über ein Netzwerk versendet
- Replikation: nein
- Populationswachstum: keines
- Parasitismus: nein
14
Q
Malware-Typ, Zombie und Botnetz:
A
- Malware die einem Angreifer bösartige Funktionalität über das Netzwerk fernsteuerbar zur Verfügung stellt (z.B. Spam versenden)
- Verbund von Zombies , der vom Angreifer wie eine Einheit ferngesteuert werden kann => Botnetz
- Replikation: nein
- Populationswachstum: nein
- Parasitismus: nein
15
Q
Grundlegender Aufbau von Viren:
A
- Infektionsmechanismus: wie verbreitet sich ein Virus?
- Infektionsvektoren: verschiedene Verbreitungsansätze
multipartite Viren nutzen mehr Infektionsvektoren
- Infektionsvektoren: verschiedene Verbreitungsansätze
- Auslöser: (optional) wie wird entschieden ob die Nutzlast aktiv wird?
- Nutzlast: was tut der Virus noch, außer sich zu verbreiten? (Schadensfunktion)
16
Q
Grob vereinfachter Bootvorgang:
A
- Computer anschalten
- Primärboot: BIOS startet, Selbsttest, Geräteerkennung und -initialisierung, Bootgerät identifizieren, Bootblock lesen und ausführen
- Sekundärboot: Bootblickprogramm lädt Code nach, der Dateisysteme lesen kann und führt diesen aus
- Betriebssystem wird geladen und ausgeführt
17
Q
Infektion des Boot-Sektors:
A
- Virus (V) kopiert originalen Bootblock (Bb) und überschreibt den Bootblock
- V benötigt originalen bb zum weiteren Hochfahren des Systems => Kopie wird an fester Stelle gespeichert
- Virus erhält Kontrolle beim Bootvorgang noch bevor das Betriebssystem und Anti-Vires SW geladen werden
- Gegenmaßnahme: Blockschutz im BIOS
18
Q
Problem bei der Infektion des Boot-Sektors:
A
- Mehrfachinfektion durch Viren, die den Bootblock „retten“ -> Kopie des originalen Bootblocks wird überschrieben
19
Q
Infektion von Dateien:
A
- Zieldateien: ausführbare Dateien, Dokumente mit interpretierbarem Code
- Virus fügt sich an Datei an, bzw. verknüpft sich mit dieser
- Virus erhält Kontrolle beim Ausführen der Datei bzw des Programmcodes im Dokument
20
Q
(Partielles) Überschreiben der Datei:
A
- Überschreibender Virus i.d.R. sehr kurz und ohne Nutzlast
- Dateianfang überschrieben: Dateigröße (Dg) unverändert, aber Wirtsprogramm zerstört
- in der Mitte überschrieben: Dateigröße unverändert => Wirtsprogramm läuft ggf anfangs, ist dennoch defekt
- Vollständig ersetzt: leicht entdeckbar durch identische Dg
21
Q
Vorhängen vor die Datei:
A
- Bei Batch/Shell-Dateien praktikabel.
- Bei Binärdateien i.d.R. zu aufwendig (Relokation - Verschiebung).
- Veränderte Dateigröße
22
Q
Anhängen an die Datei:
A
- Bei Binärdateien häufigster Fall.
- Veränderte Dateigröße
23
Q
Einstreuuung in ungenutzte Füllbereiche:
A
- Dateigröße unverändert.
- Wirtsprogramm läuft korrekt
- nur bei Windwossystemen
24
Q
Begleit-Viren:
A
- Virus trägt denselben Namen wie der ursprüngliche Wirt.
- Virus wird vor dem Wirtsprogramm aufgerufen:
- Liegt in früher durchsuchtem Pfad •
- Wirt umbenannt
- Overlay-Icon auf grafischer Oberfläche
- Virus ruft Wirtsprogramm auf.
- Wirtsprogramm bleibt unverändert
25
Q
Quellcode Viren:
A
- Virus infiziert Quellcodes des Wirtsprogramms.
- Infektionsstelle des Quellcodes ist nicht offensichtlich.
- Wirtsprogramm muss erst kompiliert werden, bevor der Virus wirksam wird.
- Virus ist unabhängig von der Hardware-Plattform
26
Q
Dokumenten Viren (Macro Issues):
A
- Virus infiziert spezifische, nicht-ausführbare Dokumente.
- Das Dokumentenformat umfasst eine interpretierbare Programmiersprache (Makrosprache).
- Applikationen, die das Dokumentenformat verstehen, interpretieren den enthaltenen Programmiercode.
- Diverse Applikationen führen bestimmte Makros bei spezifischen Funktionen aus (Dokument neu, öffnen, schließen, speichern, …).
- Der Virus infiziert diese Makros
27
Q
passive Erkennungsvermeidung:
A
- Viren wollen unerkannt bleiben um sich in Ruhe verbreiten zu können
- zwei potentielle Erkenner:
- Benutzer (sieht Symptome von Infektion)
- Anti-Virus Programme: Wiedererkennbare Eigenschaften des Viruscodes
28
Q
spuren verwischen:
A
-
statisch: Dateimerkmale anpassen
- Dateigröße, Zeitstempel, nicht kryptpgraphische Checksumme
-
dynamisch:
- ursprüngliche Datei-/ Bootblockmerkmale und Inhalte im Speicher dauerhaft vorhalten und bei I/O-Anfragen einspielen
29
Q
Verschlüsselung Polymorphie:
A
- Einfache Verschlüsselung: kein Schlüssel, inkrementieren, dekrementieren, rotieren
- statischer Schlüssel: kurzer Schlüssel, parametrisierte umkehrbare Operationen
- variabler Schlüssel: kurzer Schlüssel wird in jeder Iteration deterministisch verändert
- Substitution
- Starke Verschlüsselung: langer Schlüssel => z.B. AES
30
Q
Oligomorphie:
A
- verschlüsselter Teil stets verschieden
- Dekryptor statisch (zufällig ausgewählt) => erkennbar
31
Q
Polymorphie:
A
- statische Dekryptoren => erkennbar
- Mutation des Dekryptor-Codes erlaubt große Zahl an Varianten
- Selbsterkennung zur Verhinderung von Überinfektion => muss unabhängig vom Viruscode funktionieren
32
Q
Code-Mutation/-Obfuscation:
A
- Idee: randomisierte Ersetzung von Code Sequenz durch andere, äquivalente Code-Sequenz:
- => erschweren/ verhindern von Reverse Engineering
33
Q
12 Beispiel Transformationen:
A
- äquivalente Befehle
- äquivalente Befehlssequenzen
- Befehlsumordnung
- Umbenennung von Registern und variablen
- Datenumordnung
- Spaghettifizierung
- unnötige Befehle (junk Code)
- Code Erneuerung zur Laufzeit
- Nebenläufigkeit
- Code Interpretation
- Ilining/ Outlining
- Interleaving
34
Q
statische Virus-Erkennung durch Scanner:
A
- statische Erkennung erfordert nicht, dass der Virus-Code ausgeführt wird
- Viren Scanner: sucht Datenstrom nach Signaturen ab
- auf Anfrage: vom Nutzer explizit gestartet
- bei Zugriff: läufz im Hintergrund und durchsucht Daten beim Zugriff auf die Daten
35
Q
statische Virus-Erkennung durch Heuristiken:
A
- Statische Heuristik: sucht nach Code der sich Virusähnlich verhält
- Datensammlung: sucht Anzeichen für oder gegen Virus
- einfache und komplexe Heuristiken
- Vorteil: erkennt bekannte und unbekannte Viren
- Nachteil: viele false positives
36
Q
Verifikation der Datenintegrität:
A
- Idee der Integrirätsprüfung: Viren verändern Daten um sich zu verbreiten
- => unautorisierte Datenänderung sind Indix für Virus
- Vorteil: hohe Performance, erkennt bekannte und unbeaknnte Viren
- Nachteil: aufwendige Wartung
37
Q
dynamiasche Virus-Erkennng durch Monitore:
A
- erfordert, dass der Code ausgeführt wird => Verhalten wird in Echtzeit nach Virus ähnlichem Verhalten hin untersucht
- Monitor:abstarhiert I/O und Systemaufrufe, da diese typisch sind für Virus
38
Q
Grobkörnige Modellierung:
A
- sucht nur Oberflächlich => viele False positives
- Signaturen (wie Schablonen) sind kurze Zeichenfolgen, die Virus-Aktivität beschreiben
39
Q
Missbrauchserkennung Arten:
A
- grobkörnig
- feinkörnig
- Beispielsigantur
40
Q
Feinkörnige Modellierung:
A
- weniger oberflächlich
- erlaubt Modellierung von Merkmalen bzw. Parametern der Aktivitäten
41
Q
Anomalieerkennung:
A
- Spezifizieren erlaubter Aktivitäten, davon abweichende Aktivität ist eine Anomalie
- Annahme: eine Anomalie ist ein Virus (allgemeiner: Angriff)
- Vorteil: erkennt bekannte und unbekannte Viren/Angriffe
42
Q
Emulation:
A
- ausgewertet werden die vom Emulator zur Laufzeit gelieferte Beobachtungsdaten
- Vorteil: Virus befällt nur emulierte Umgebung, Echtsystem bleibt sauber. Erkennt bekannte und unbekannte, sowie polymorphe Viren
- Betriebssystem-Emulation: nur begrenzter und ergänzter Ausschnitt des Betriebssystems
- Hardware-Emulation: von Viren benötigte Hardware, z.B. Timer
43
Q
aktive Erkennungsvermeidung:
A
- Methoden von Malware sich gezielt gegen Anti-Viren Programme zu wehren.
- Methoden um die aktive Analyse der Malware zu erschweren
44
Q
Methoden von Viren im Kampf gegen Anti-Viren-SW:
A
Ziele:
- Funktionsfähigkeit der Anti-Viren-SW unterbinden/herabsetzen.
- Virenanalyse des Anti-Viren-SW-Herstellers erschweren/verzögern.
- Entdeckung vermeiden, indem Wissen über Funktionsweise der Anti-Viren-SW ausgenutzt wird.
45
Q
Retroviren:
A
- Aktives abschalten/behindern vorhandener Anti-Viren-SW
46
Q
Verscjleierung des Einsprungs in den Viruscode:
A
- Anti-Viren-Heuristik erkennt geringen Abstand zwischen Dateiende und Einsprung zum Programmstart
- Virus wählt per Heuristik später ausgeführten Wirtscode und ersetzt durch Sprung zum Viruscode
47
Q
Emulationen umgehen:
A
- Aussitzen
- dynamische Heuristiken vermeiden
- Verteilen des Dekryptors
- merhrfaches Entschlüsseln
- Grenzen Testen
48
Q
Reverse enginnering vermeiden/ Debugging erkennen:
A
- Virus ist aufgefallen und isoliert => Reverse Engineering verzögern => Debugging-Vorgang erkennen und unverdächtigen Code ausführen
49
Q
Würmer:
A
- Gemeinsamkeiten mit Viren:
- verschiedene Infektionsvektoren, Multipartite Würmer.
- Tarnmechanismen
- Anti-Anti-Viren-SW-Methoden.
- Andere Infektionsvektoren:
- Verwundbarkeit ausnutzen (Exploit).
- Überredung / Social Engineering (Email-Anhang öffnen, IM-Datei öffnen).
- Vertrauensbeziehungen ausnutzen.
50
Q
A
51
Q
Gegenmaßnahmen:
A
-
Präventive Maßnahmen:
- Verkehrsnormalisierung zur Unterstützung von Netz-IDS.
- Ungenutzte Dienste deaktivieren / filtern.
-
Reaktive Maßnahmen:
- Aufmerksame Administratoren. •
- Anti-Viren-SW prüft nicht alle Wurm-Infektionsvektoren.
- Intrusion-Detection and Response,
- Honeypots: Einfangen von Würmern für Analyse
52
Q
Allgemeine Empfehlung für den Kampf gegen Viren und Würmer:
A
- Verlagern von sensiblen Daten auf externe Speichermedien
- Sensible Daten verschlüsseln
- Rechte minimieren (mit welchen Rechten muss ein Programm/Prozess wirklich laufen, etc.)
- Integrität von Software und Softwareupdates durch digitale Signatur überprüfen
- Code-Inspektion (soweit möglich
