Fileless Malware, oder: The Ghost In The Machine
Stellen Sie sich vor, ein Einbrecher dringt in Ihr Haus ein, ohne Fußspuren oder Fingerabdrücke zu hinterlassen. Genauso operiert Fileless Malware: Unsichtbar für traditionelle Sicherheitssysteme, aber äußerst gefährlich. In unserem Blogartikel erfahren Sie, was Fileless Malware ist und wie Sie Angriffe abwehren können.
Was ist Fileless Malware?
Herkömmliche Malware nistet sich als Datei auf Ihrer Festplatte ein. Fileless Malware hingegen kommt ohne klassische ausführbare Dateien aus. Sie nutzt Systemtools und verbleibt hauptsächlich im Arbeitsspeicher des betroffenen Systems. Das perfide daran ist, dass sämtliche Spuren nach einem Angriff oft vollständig verschwunden sind – so, als wäre nie etwas geschehen.
Dieser Ansatz wird häufig auch „Living-off-the-Land” genannt und zeichnet sich dadurch aus, dass Angreifer Werkzeuge missbrauchen, die auf jedem Windows-System vorhanden sind, also beispielsweise PowerShell. Da diese Tools zum normalen Systembetrieb gehören, zeigen klassische Antivirenprogramme bei diesen Angriffen keine Wirkung.
Fileless Malware erlaubt es, Systeme unbemerkt zu kompromittieren, Daten auszuspähen oder zu verschlüsseln, jedoch, ohne dass eine Malware-Datei vorhanden ist. Die Ausführung ohne Dateien hat dabei entscheidende Vorteile, da sie bei etwaigen Analysen durch Forscher nur schwer nachvollziehbar ist und wenige Spuren hinterlässt.
Besonders gefährlich durch Modularität
Was einer der Vorteile und Besonderheiten von NoSpamProxy ist, ist leider auch das „Besondere“ an Fileless Malware: Modularität. Einzelne Komponenten – von der Umgehung von Sicherheitsmechanismen über Verschleierungstechniken bis hin zur Datenextraktion – werden modulbasiert entwickelt. So lässt sich die Malware in Form von Einzelkomponenten entwickeln, die sich schnell kombinieren und anpassen lassen.
Angreifer können ihre Werkzeuge deshalb weiterentwickeln, ohne das Gesamtsystem zu verändern. Die Einsatzgebiete reichen vom einfachen Loader für weitere Malware über Remote-Access-Trojaner (RAT), die Vollzugriff auf Zielsysteme ermöglichen, bis hin zu Ransomware.
Wie läuft ein Angriff mit Fileless Malware ab?
Cyberattacken sind Alltag für Unternehmen auf der ganzen Welt, und auch für Fileless Malware ist E-Mail das Haupteinfallstor. Der Grund ist klar: E-Mails sind allgegenwärtig und werden täglich milliardenfach geöffnet. Die Infektion erfolgt dabei überwiegend durch Phishing-E-Mails mit bösartigen Links oder durch Makros in Office-Dokumenten, die die Ausführung der eigentlichen Malware anstoßen. Eine weitere Infektionsquelle sind Softwareschwachstellen, die die Ausführung der Schadsoftware ebenfalls herbeiführen.
Ein typisches Angriffsszenario beginnt harmlos: Sie erhalten eine E-Mail, die wie eine Rechnung, eine Bewerbung oder ein Dokument von einem Geschäftspartner aussieht. Im Anhang befindet sich ein Word- oder Excel-Dokument. Beim Öffnen erscheint die Meldung: „Makros müssen aktiviert werden, um den Inhalt anzuzeigen.”
Klicken Sie jetzt auf „Inhalte aktivieren“, startet im Hintergrund ein bösartiges Makro PowerShell-Befehle, die Schadsoftware direkt in den Arbeitsspeicher laden, nicht zu erkennen für ihre Antivirus-Software. Die Emotet-Kampagnen der vergangenen Jahre haben diese Methode zur Perfektion gebracht.
Neben Makros werden auch Links zu gefälschten Webseiten eingesetzt, bei deren Nutzung JavaScript-Code ausgeführt wird, der Browser-Schwachstellen ausnutzt und Schadcode direkt in den Speicher überträgt.
Besonders heimtückisch sind HTML-Anhänge oder .hta-Dateien (HTML Applications). Diese werden vom Browser oder Windows direkt ausgeführt und können ohne weitere Warnmeldungen PowerShell-Befehle starten.
Wie können Sie sich vor Fileless Malware schützen?
Wie bereits erwähnt, beginnt ein Angriff mit Fileless Malware wie jeder andere Phishing-Angriff auch: mit einer verseuchten E-Mail. NoSpamProxy verfügt über mehrere Schutzebenen, die speziell darauf ausgelegt sind, Fileless Malware bereits am E-Mail-Gateway abzufangen, bevor sie auf Endgeräte gelangt.
Sie haben NoSpamProxy noch nicht im Einsatz?
Mit NoSpamProxy Protection und 25Reports schützen Sie Ihr Unternehmen zuverlässig vor gefährlichen Whaling-E-Mails und profitieren von vielen weiteren Sicherheitsfunktionen. Fordern Sie jetzt Ihre kostenlose Testversion an!
