Automatisierte Signaturgenerierung für Malware-Stämme - Zynamics

8 2 Begriffe, Konzepte und Verfahren
Backdoor Als Hintertür 4 wird ein Schadprogramm oder Teil eines Schadprogramms
bezeichnet, welches eine Umgehung der normalen Zugriffskontrolle des Rechensystems
ermöglicht. Häufig wird so auch die Steuerung des Rechensystems über
ein Netzwerk ohne Kenntnis des Benutzers möglich.
2.2.2 Tarntechniken
Nutzlast
Dekodierroutine
Verschlüsselungsroutine
Schadfunktion
Verschlüsselt
Unverschlüsselt
Abbildung 2.1: Ein einfaches Modell getarnter Malware
Um einer Entdeckung durch Antivirenprogramme (siehe Abschnitt 2.3) zu entgehen,
implementieren einige Schadprogramme mehr oder weniger komplexe Tarntechniken
(Obfuscation 5 ). Mit Tarntechniken ist hier die Veränderung des syntakischen Erscheinungsbildes
der Malware durch selbst-modifizierenden Objektcode (auch Mutation
genannt) gemeint und nicht die unbemerkte Ausführung im Hintergrund.
Folgende Methoden werden dabei unterschieden [58]:
Ungetarnt Die Malware unternimmt keinerlei Versuche, einer Entdeckung zu entgehen.
Offensichtlich ist solche Malware leicht zu entdecken.
Verschlüsselung, Oligomorphie Veschlüsselte Malware besteht aus zwei Teilen: einer
Dekodierroutine und einer Nutzlast (engl. payload). Bei der Ausführung wird die
Nutzlast durch die Dekodierroutine entschlüsselt und die enthaltene Schadfunktion
zur Ausführung gebracht (Abb. 2.1). Die Entdeckung ist durch die Suche nach der
unverschlüsselten Dekodierroutine möglich.
Oligomorphe Malware verschlüsselt die Nutzlast während der Weiterverbreitung
mit Hilfe der Verschlüsselungsroutine erneut. Die Dekodierroutine enthält dabei
entweder eine endliche Menge von Schlüsseln, oder die Verschlüsselungsroutine
erzeugt eine neue Dekodierroutine mit einem neuen Schlüssel aus der gleichen
4 Selbst in der deutschsprachigen Literatur wird meist der Begriff Backdoor verwendet.
5 engl. etwa für Verschleierung oder Verwirrung