Polymorphe Malware

Auch bekannt als: Selbstverschlüsselnde Malware, Polymorpher Virus

Schadsoftware, die ihr Aussehen auf der Festplatte bei jeder Infektion verändert — meist durch erneute Verschlüsselung oder Packen — bei gleichbleibender Kernlogik.

Polymorphe Malware verwendet eine Verschlüsselungs-/Packer-Schicht und einen kleinen mutierenden Entschlüsseler, sodass jede Datei-Kopie für signaturbasierte AV anders aussieht, obwohl die entschlüsselte Nutzlast identisch ist. Das vereitelt Hash- und Byte-Signaturen. Polymorphe Engines nutzen Befehlsumordnung, Junk-Code und variable Registerwahl. Anders als bei metamorpher Malware wird die eigentliche Payload nicht neu geschrieben, sondern nur ihre Hülle verändert. Wirksame Abwehr stützt sich auf Verhaltenserkennung, Speicher-Scans nach dem Entpacken, YARA-Regeln auf entschlüsselten Strings, EDR/XDR und ML-Klassifikatoren auf dynamischen Merkmalen statt nur auf Dateibytes.

Beispiele

Storm Worm, das sich häufig umpackte, um Signaturen zu entgehen.
Virut, langlebiger polymorpher Dateiinfektor, der bei jeder Verbreitung mutierte.

Polymorphe Malware

Beispiele

Verwandte Begriffe

Metamorphe Malware

Tarn-Malware (Stealth)

Computervirus

Malware Analysis

EDR (Endpoint Detection and Response)

Schadsoftware

Definition

Beispiele

Verwandte Begriffe

Metamorphe Malware

Tarn-Malware (Stealth)

Computervirus

Malware Analysis

EDR (Endpoint Detection and Response)

Schadsoftware