Wie Malware heimlich das Kommando übernimmt
Mit der Verschleierungstechnik "DOSfuscation" verbergen Cyber-Angreifer schädliche Windows-Kommandozeilenbefehle geschickt vor Virenscannern und Code-Analysten.
(Bild: dpa, Sebastian Kahnert/Archiv)
Der folgende Text enthält einen Kommandozeilenbefehl. Können Sie ihn entziffern?
%TEMP:~-8,-7%%ProgramFiles:~9,1%%windir:~-4,1%;/%TmP:~ -8, 1%"s^et ohL=e.de&&set IP=p^^ing&&,set uOn= he^^is&&ca^ll ;seT SK1=%IP%%uOn%%ohL%&&cAll %SK1%"
Falls Sie jetzt ratlos den Kopf schütteln, ist das nicht weiter verwunderlich. Denn die "DOSfuscation"-Technik verschleiert cmd.exe- und PowerShell-Befehle derart gekonnt, dass Malware-Analysten und Antivirenprogramme bisweilen Schwierigkeiten haben, sie überhaupt als solche zu identifizieren. Das zeigt etwa ein Blogeintrag des AV-Herstellers G Data von Mitte 2018. "Als wir das Sample das erste Mal angeschaut haben, dachten wir zuerst, wir hätten die Datei falsch exportiert", kommentierte ein Analyst des Unternehmens den wohl ersten DOSfuscation-Fund in freier Wildbahn.
Seitdem veröffentlichen Antiviren-Hersteller und unabhängige Forscher immer wieder Schadcode-Analysen, in denen obfuskierte, oder besser: "DOSfuskierte" Kommandozeilenbefehle auftauchen. Meist werden sie von Makrocode in Word-Dokumenten gestartet, um zusätzlichen Schadcode, darunter etwa den berüchtigten Trojaner Emotet, aus dem Internet nachzuladen. DOSfuscation ist zwar komplex, für Angreifer aber ganz leicht auf beliebige Befehle anwendbar – dank des Frameworks "Invoke-DOSfuscation", das bereits seit 2016 frei bei GitHub verfügbar ist.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Custom-ROM "GrapheneOS" vorgestellt: Android ganz privat
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Im Test: Zehn USB-SSDs und -Sticks mit 1 oder 2 TByte Speicherplatz
Drei KI-Sprechtrainer im Test: Fremdsprache mit KI lernen
Virtualisierungsoftware: Alternativen zu VMware
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Fremdsprachen lernen: Wie man ChatGPT zum Sprechtrainer aufrüstet
Custom-ROM "GrapheneOS" vorgestellt: Android ganz privat
Wie eine lokale KI die Fotosammlung auf dem NAS verschlagworten kann
Im Test: Zehn USB-SSDs und -Sticks mit 1 oder 2 TByte Speicherplatz
Drei KI-Sprechtrainer im Test: Fremdsprache mit KI lernen