Polymorphe Malware.

Polymorphe Malware verwendet eine Verschlüsselungs-/Packer-Schicht und einen kleinen mutierenden Entschlüsseler, sodass jede Datei-Kopie für signaturbasierte AV anders aussieht, obwohl die entschlüsselte Nutzlast identisch ist. Das vereitelt Hash- und Byte-Signaturen. Polymorphe Engines nutzen Befehlsumordnung, Junk-Code und variable Registerwahl. Anders als bei metamorpher Malware wird die eigentliche Payload nicht neu geschrieben, sondern nur ihre Hülle und der Entschlüsseler verändert.

Die Technik ist Jahrzehnte alt. Der Virus 1260 (V2PX), 1990 von Mark Washburn aus Ralf Burgers Disassemblierung des Vienna-Virus geschrieben, gilt weithin als erster polymorpher Virus und randomisierte seine Entschlüsselungsroutine, um seine Signatur zu variieren. Anfang 1992 machte die Mutation Engine (MtE) des Dark Avenger Polymorphie zu einem wiederverwendbaren Baukasten, den jeder Virenautor anflanschen konnte, und erzeugte pro Infektion einen frischen Entschlüsseler und Zufallsschlüssel; Norton meldete bis Ende 1992 rund 900.000 erkannte Mutationen. Moderne Loader und Packer wenden dieselbe Idee im großen Maßstab an.

Da die Payload nach dem Entpacken konstant ist, verlagert sich wirksame Abwehr weg von Dateibytes: Verhaltens-/EDR-Telemetrie, Speicher-Scan nach dem Lauf des Entschlüsselers, YARA-Regeln auf entschlüsselten Strings im Speicher, Sandbox-Detonation und ML-Klassifikatoren, die auf dynamischen Merkmalen trainiert sind.

flowchart LR
  A[Konstante Payload] --> B[Mit Zufallsschluessel verschluesseln]
  B --> C[Mutierenden Entschluesseler + Junk-Code voranstellen]
  C --> D[Neue einzigartige Datei pro Infektion]
  D -->|entgeht| E[Signatur-/Hash-AV]
  D --> F[Bei Ausfuehrung: Entschluesseler entpackt im Speicher]
  F --> G[Identische Payload wird sichtbar]
  G -->|erkannt von| H[EDR / Speicher-Scan / Verhaltens-ML]