Tarnende Malware.

Tarnende Malware bündelt viele Ausweichtechniken, um zugleich für Nutzer, Sicherheitswerkzeuge und Forensiker unsichtbar zu sein: System-APIs hooken, um Dateien und Prozesse zu verbergen, Integritätsprüfungen abfangen, Sandbox- und VM-Erkennung, Anti-Debugging, Packing und Obfuskation, Living-off-the-Land-Binaries, Timestomping (MITRE ATT&CK T1070.006) und das Löschen von Protokollen nach der Operation. Je tiefer der Code sitzt, desto schwerer ist er zu sehen. TDL-4/TDSS infizierte den Master Boot Record, um vor Windows zu laden und die eigenen Dateien zu verstecken, während LoJax (ESET, 2018) — APT28/Sednit zugeschrieben — das erste in freier Wildbahn gefundene UEFI-Rootkit war und durch Residenz im SPI-Flash die Neuinstallation des Systems und sogar den Festplattentausch überlebte. Stuxnet signierte seinen Kernel-Treiber mit gestohlenen Realtek- und JMicron-Zertifikaten, um legitim zu wirken.

Da Prävention unvollkommen ist, geht Erkennung von einer Kompromittierung aus. EDR mit Kernel- und Speichersicht, manipulationssicheres Logging außerhalb des Hosts, Netzwerkverkehrsanalyse und Threat Hunting anhand von TTPs (auf MITRE ATT&CK gemappt) legen Verhalten offen, das Dateien allein verbergen. Härtung — UEFI Secure Boot, per HVCI erzwungene signierte Treiber, geringste Rechte und Reduktion der Verweildauer durch proaktives Hunting — verkleinert den Raum, in dem tarnende Malware leben kann.

flowchart TD
  A[Malware wird ausgeführt] --> B{Umgebungsprüfung}
  B -->|Sandbox / VM / Debugger| C[Ruhend bleiben oder selbst löschen]
  B -->|Echtes Ziel| D[Persistenz einrichten]
  D --> E[Verstecken: API-Hooking, Rootkit, UEFI/MBR]
  E --> F[Ausweichen: EDR aushängen, obfuskieren, LOLBins]
  F --> G[Operieren: C2, Sammlung]
  G --> H[Anti-Forensik: Timestomp, Logs löschen]
  H --> I[Langsame, unauffällige Verweildauer]