Dateilose Angriffe im Arbeitsspeicher Warum Fileless Malware klassische Abwehrmechanismen aushebelt

Fileless Malware agiert ausschließlich im RAM und hinterlässt kaum Spuren – ein Albtraum für IT-Security. Der Artikel zeigt, wie Angreifer Windows-Schutzmechanismen umgehen, welche Techniken im Einsatz sind und wie Unternehmen sich wirksam schützen können.

Fileless Malware gehört zu den schwer erkennbaren Formen moderner Cyberbedrohungen. Im Gegensatz zu klassischer Schadsoftware kommt sie ohne Dateien aus und agiert ausschließlich im Arbeitsspeicher. Diese Eigenschaften macht es für konventionelle Antivirenlösungen, wie z.B. dem Windows Defender, besonders schwer sie zu erkennen. Diese zunehmend anzutreffende Technik hat vielerlei Nutzen für Angreifer: Sie erlaubt es, Systeme unbemerkt zu kompromittieren, Daten auszuspähen oder zu verschlüsseln – also typisches Schadverhalten, jedoch ohne, dass eine klassische Malware-Datei vorhanden ist. Dabei hat die Ausführung ohne Dateien entscheidende Vorteile, um bei etwaigen Analysen durch Forscher nur schwer nachvollziehbar zu sein und wenige Spuren zu hinterlassen. Die Infektion mit diesem Malwaretyp erfolgt überwiegend durch Phishing E-Mails mit darin enthaltenen bösartigen Links bzw. mittlerweile weniger oft genutzten Makros in Office-Dokumenten, die lediglich die Ausführung der eigentlichen Malware anstoßen, sowie Softwareschwachstellen, die ebenfalls die Ausführung der Schadsoftware herbeiführen.

Neuer Rust-basierter Infostealer entdeckt

Warnung vor „EddieStealer“ mit Tarnung als CAPTCHA-Prüfung

Je nach Anwendungsgebiet agiert die Malware als Loader bzw. Dropper für weitere Malware, Remote-Access-Trojan (RAT; was den Vollzugriff der Angreifer auf das Opfersystem ermöglicht) oder sogar als Ransomware. Um dies zu erreichen sind die Methoden wie auch die Anwendungsgebiete vielfältig. Von Process-Injection, dem injizieren von Schadprogrammen in fremde Prozesse, über die Nutzung von PowerShell bis hin zur Persistenz über Registry-Einträge (Datenbank für Konfigurationsparameter) oder die Aufgabenplanung liegen unter Windows – dem bevorzugten Angriffsziel – die Grenzen weit auseinander. Gleichzeitig erschweren Fileless Malware-Angriffe viele Offline-Forensik Analysen, da keine oder nur minimale persistente Spuren hinterlassen werden. Während klassische Malware Spuren in Form von Dateien auf der Festplatte hinterlässt, die bspw. eine Kategorisierung dieser zulässt, sind bei Fileless Malware oft nur flüchtige Hinweise oder Spuren in Logs der Betriebssysteme vorhanden. Bei heruntergefahrenem System lassen sich unter anderem verdächtige Registry-Einträge, Aufgabenplanungen im Task-Scheduler oder Systemereignisse auswerten. Für eine umfassendere Analyse sind jedoch Live-Untersuchungen notwendig – etwa durch Memory-Dumps oder Verhaltensanalysen im laufenden Betrieb. Ein Grund mehr bei einem Angriff den Rechner nicht direkt auszuschalten, sondern zu isolieren, um so flüchtige Asservate, also Beweismittel, zu erhalten.

Zum Schutz vor Fileless Malware ist eine Kombination technischer Maßnahmen, systemseitiger Einschränkungen und organisatorischer Vorkehrungen wie Mitarbeiterschulungen und klare Rechtevergaben von großer Bedeutung.

Neben möglicher und häufig genutzter Komponenten und Techniken von Fileless Malware, zeigt dieser Artikel tiefergehende Techniken wie die Umgehung Windows-eigener Schutzmaßnahmen, der Verschleierung der Fileless Malware selbst, die Analyse des Opfersystems, sowie die Exfiltration von Daten.

Evasion Tactics

Wie Hacker unsere Sicherheits­lösungen austricksen

Fileless Malware unter Windows: Komponenten, Techniken und Herausforderungen

Im Rahmen einer Bachelorarbeit an der Hochschule Esslingen wurde untersucht, wie Fileless Malware unter Windows mit Powershell und C# generiert und ausgeführt werden kann. Das Ziel: zeigen, dass selbst komplexe Angriffe mithilfe von definierten Fileless Malware Komponenten innerhalb kurzer Zeit entwickelt und getestet werden können.

Eine weit verbreitete Eigenschaft – die besonders bei Fileless Malware vorkommt – ist die Modularität der einzelnen Komponenten. Zu den häufig eingesetzten Komponenten von Fileless Malware gehören Techniken zur Umgehung von PowerShell-Restriktionen (bestimmte Kommandos sollen nicht ausgeführt werden dürfen), AMSI-Bypass (System zur Schadcode­erkennung ausschalten), verschiedene Verschleierungs­techniken (eine Analyse der Schadsoftware erschweren), Systemumgebungsanalysen (was könnte ein Angreifer auf dem System finden?), Prozessinjektion (einbinden von Schadcode in andere Prozesse) und Datenextraktion (nützliche Daten, wie Zugangsdaten, sind für Angreifer von großer Bedeutung). Nicht selten kommen auch weitere Funktionalitäten bis hin zur Datenverschlüsselung – dem typischen Ransomware-Verhalten – vor.

Einzelne Angriffsschritte – vom Initialzugriff bis zur Privilegien­erweiterung (engl. Privilege Escalation, bspw. vom normalen Nutzer zum Administrator) – lassen sich durch flexible lose gekoppelte Module besonders einfach und performant umsetzen. Durch die Flexibilität einzelner Module erlaubt dies den Angreifern, ihre Werkzeuge schnell anzupassen oder weiterzuentwickeln, ohne das Gesamtkonstrukt grundlegend zu verändern. Zusätzliche Module können so ohne große Probleme entwickelt, bei Bedarf miteinbezogen und mehrfach wiederverwendet werden. Die ständige Anpassung der Komponenten und die dateilose Existenz sind zugleich einfache Methoden, um gegenüber von Antivirensystemen schwer erkennbar zu werden.

Im Folgenden wird erläutert, wie diese Komponenten funktionieren und wie erfolgreich Angriffe damit sind.

Neue unsichtbare Cybergefahr auf dem Vormarsch

RDGA – die stille Bedrohung

Abschalten des Constrained-Language Mode und PowerShell-Restriktionen

In Windows-Umgebungen werden Sicherheitsmechanismen wie der Constrained Language Mode (CLM) und die Begrenzung bestimmter PowerShell Versionen verwendet, um die Ausführung potentiell gefährlicher PowerShell-Befehle zu verhindern. Für Fileless Malware würde dies eine stark eingeschränkte Anzahl an Möglichkeiten oder sogar die Erkennung als Schadsoftware bedeuten. Um diese Schutzmechanismen zu umgehen, werden Bypass-Methoden verwendet. Eine Methode um den CLM zu umgehen bzw. diesen in den FullLanguage Mode zurückzusetzen besteht darin, die Umgebungsvariable „Temp“ auf ein anderes passendes Verzeichnis mit gleichen Rechten und Eigenschaften z.B. „C:\Windows\Task“ umzuleiten, da innerhalb dieses alternativen Verzeichnisses temporäre C#-Assembly-Dateien, die für die Ausführung von Payload erforderlich sind, gespeichert werden können. Des Weiteren können Angreifer auf die alte PowerShell Version 2.0 zurückgreifen, da diese Version viele moderne Sicherheitsmechanismen nicht unterstützt und so – trotz teils geringerer Funktionen – die Umgehung dieser ermöglicht. Voraussetzung ist aber, dass PowerShell 2.0 und auch das .NET-Framework 3.5 als Laufzeitumgebung aktiviert sind. Es zeigt sich aber, dass nicht nur die Implementierung dieser Bypass-Methoden sehr einfach ist, sondern auch die Umgehung von PowerShell-Restriktionen und des CLM entsprechend sehr erfolgreich und performant abläuft.

Windows Antimalware Methoden umgehen

Seit Windows 10 überprüft das Antimalware Scan Interface (AMSI) in Echtzeit Skripte und PowerShell Befehle auf schädlichen Code. Für Fileless Angriffe wäre dies fatal, da AMSI bei entsprechendem Verdacht die Ausführung des Powershell-Codes unterbinden und damit schon die erste Ausführung verhindert werden könnte. Damit das AMSI nicht auf schädliche Skripte reagiert, werden häufig AMSI-Bypass Methoden eingesetzt. Eine Möglichkeit zur Umgehung von AMSI besteht darin, fehlerhafte Zustände in diesem zu erzeugen. Dazu werden interne AMSI-Variablen im Bereich „System.Management.Automation.AmsiUtils“ auf ungültige Referenzen oder „null“ gesetzt. Damit befindet sich AMSI in einem fehlerhaften Zustand, wodurch keine Eingaben oder Skripte mehr analysiert werden. Alternativ kann AMSI direkt im Arbeitsspeicher manipuliert werden. Dazu wird die Speicheradresse der Funktion „AmsiScanBuffer“ aus der geladenen „amsi.dll“ ermittelt, diese mit einem manipulierten Code-Block gezielt überschrieben und damit deaktiviert. Diese alternative Methode erfordert allerdings erhöhte Rechte eines Administrators. Während der Bypass mittels Fehlererzeugung einfach umzusetzen ist, wird der Memory Patching Angriff durch den Windows Defender in den Tests zuverlässig blockiert.

Cyber-Kriminalität

So vertuschen Hacker ihre Aktivitäten

Verschleierungs­techniken bei Fileless Malware

Angriffe durch Fileless Malware sollen aus Sicht des Angreifers möglichst unerkannt bleiben, weshalb diese nicht nur bei dieser Art von Malware umfangreiche Verschleierungs­techniken einsetzen. Damit signaturbasierte Erkennungsverfahren die Angriffe nicht verhindern, müssen Angreifer entsprechende Anpassungen vornehmen. Dies geschieht etwa dadurch, dass die Variablen- und Funktionsnamen durch zufällige Zeichenketten ersetzt werden, die aber bei Ausführung trotzdem noch dasselbe Ergebnis zu Tage bringen.

Eine weitere grundlegende Technik zur Verschleierung ist es den Malwarecode mithilfe von Base64 zu kodieren. Außerdem kann eine Komprimierung bspw. mit GZip verwendet werden, die erst zum Zeitpunkt der Ausführung dekomprimiert wird. Ein Vorteil dabei ist, dass die Zeichen nicht einfach wie bei Base64 dekodiert werden können. Daneben stellt die Verschlüsselung mit AES eine fortschrittliche Methode dar. Die Payload wird verschlüsselt und kann nur mithilfe eines passenden Schlüssels und PowerShell-Befehls wieder entschlüsselt und damit ausgeführt werden. Das Ergebnis ist ein nicht erkennbares Datenkonstrukt, welches den schädlichen Inhalt erst nach der Entschlüsselung zur Ausführung bringt. In praktischen Experimenten hat sich gezeigt, dass die Verschlüsselung mit AES oder Base64 Kodierung des Payloads keine Probleme bei der Ausführung der Fileless Malware macht, die (De-)Komprimierung durch Antivirensysteme, wie dem Windows Defender, aber relativ einfach erkannt und blockiert werden. Dennoch erschweren alle Verschleierungsmethoden die Analyse und bei geeigneter Anpassung könnte sogar die Erkennung des GZip-Bausteins verhindert werden.

Erkennung von Antivirus Software und virtuellen Maschinen

Um Analysen und die Erkennung der Fileless Malware zu verhindern, nutzen Entwickler von Schadsoftware nicht selten Systemumgebungsanalysen. Diese ermöglichen es bspw. Antiviren-Lösungen (AV) und virtualisierte Umgebungen (VMs) zu erkennen. Sollten deaktivierte Antiviren-Lösungen erkannt werden, hat die Malware erhöhte Aussichten auf Erfolg. So kann sie nicht mehr bei der Ausführung behindert werden. Erkennt die Fileless Malware aber eine virtuelle Umgebung, kann eine Analysesituation vorliegen und es könnte entsprechend reagiert werden, denn Analysten nutzen in der Regel virtuelle Maschinen – zumeist sind Reaktionen darauf, dass sich die Malware dann selbst beendet oder selbst löscht. Um AVs bzw. VMs zu finden genügt es zumeist auf spezifische Prozesse, Treiber oder Speicherorte, die auf solche Produkte hinweisen zu prüfen. Typische Suchwörter sind bspw. „vbox“ oder „virtualbox“ für Oracles Virtualisierungsumgebung, „vmware“ für die von Broadcom oder „hyperv“ bzw. „hyper-v“ für die Windowslösung. Wie sich gezeigt hat, unterbinden diese Analysen herkömmliche Antiviren­systemen, wie der Windows Defender nicht. Das hilft Fileless Malware zusätzlich unerkannt zu operieren und einer Analyse zu entgehen.

Threat Insights Report

Gefälschte Captchas verbreiten Malware

Infiltrieren von anderen Prozessen durch Process-Injections und Exfiltration von Daten

Angriffe durch Fileless Malware zielen normalerweise darauf ab Code nicht selbst, sondern durch harmlose Opferprozesse (also z.B. die des Browsers oder Taschenrechners) auszuführen, um höhere Rechte zu erlangen oder um versteckt zu bleiben. Damit dies erreicht wird, ist eine Komponente für Process-Injections notwendig. Dadurch kann Code direkt im Speicher eines laufenden Prozesses, beispielsweise des Taschenrechners, geladen und ausgeführt werden. Weit verbreitete Methoden wie die Self-Injection oder Remote-Injection basieren unter Windows darauf, verschiedene API-Funktionen aus der kernel32.dll, die die nötigen Funktionalitäten enthält, zu nutzen, um so Speicherbereiche zuzuweisen, darin Code zu laden und auszuführen. Meist sind die Unterschiede der Techniken nur marginal, benötigen aber in der Regel Administratorrechte. Trotz der seit Langem bekannten Injection-Methoden ist deren Implementierung und Ausnutzung nach wie vor sehr einfach und wird in praktischen Experimenten vom Windows Defender nicht erkannt.

Ebenfalls ohne Probleme kann eine Exfiltration von Daten jeglicher Art erfolgen – solange keine entsprechende Sicherheitslösung im Netzwerk dazwischen geschalten ist. Das Ziel der Exfiltration von Daten insbesondere bei Fileless Malware ist es, zumeist sensible Informationen auch aus dem Arbeitsspeicher zu extrahieren. So kann es vorkommen, dass ein Datenverlust erst spät entdeckt und durch die wenigen Spuren, die die Fileless Malware hinterlässt, schwer nachvollziehbar wird. Für eine erfolgreiche Exfiltration kann mithilfe von NativeDump ein Abbild des Speichers erstellt und dieses mit Hilfe von bspw. Mimikatz untersucht werden. Mimikatz ist in der Lage Anmeldedaten aus dem Speicherabbild auszulesen. Trotzdem werden für den Speicherdump in der Regel Administratorrechte benötigt, die in betrieblichen Umgebungen nicht vorhanden sein sollten. Daneben bieten sich viele weitere Tools und Exfiltrationsziele an. Nicht selten werden lokale Passwortspeicher oder Browserhistorien Ziel dieser Methoden.

Malware und Phishing

Vertrauenswürdige Subdomains lassen Cyberangriffe seriös erscheinen

Malware der Zukunft?

Trotz ihrer flüchtigen Natur hinterlässt dateilose Schadsoftware – wenn auch nur wenige – Spuren im System, etwa in der Windows-Ereignisanzeige. Ereignis-IDs wie: 4103 (ausgeführte PowerShell-Skriptblöcke), 4688 (neue Prozessstarts), 1026 (.NET-Fehlermeldungen), oder Systemevents wie 1000 (Anwendungsfehler), 1001 (Windows Fehlerberichte), 400 (Start von PowerShell), und 800 (PowerShell Befehlsausführung (Pipeline Execution)) können Hinweise auf laufende Angriffe liefern. Dennoch gelingt es vielen Angriffen, diese Spuren gezielt zu unterdrücken oder zu manipulieren. Im Gegensatz zu herkömmlicher Malware liegen die Vorteile damit auf der Hand.

Ein Praxisbeispiel für die Umsetzung solcher Techniken wurde im Rahmen der Bachelorarbeit an der Hochschule Esslingen entwickelt. Hierbei entstand ein modulares Framework, das die verschiedenen Fileless-Komponenten kombiniert zusammenfasst. Die Analyse dieser Werkzeuge erfolgte in einer kontrollierten Windows 11 Umgebung mit eingeschaltetem Microsoft Defender. Besonderer Fokus lag auf der Untersuchung der Umgehungstechniken, forensische Spuren und schließlich der Performanz der Module.

Die Studie zeigt: Die Effektivität klassischer Schutzmaßnahmen sinkt deutlich, wenn Angriffe vollständig im RAM ausgeführt werden und damit bekannte Kontrollmechanismen umgangen werden können. Daraus ergibt sich ein dringender Handlungsbedarf: Neben der Einschränkung von PowerShell und der Vergabe minimaler Rechte, sollten sich Unternehmen nicht nur auf oberflächliche Schutzmechanismen, wie Antivirenscanner oder E-Mail Spam-Scanner verlassen. Vielmehr können gezieltes Monitoring der Infrastrukturbestandteile (u.a. des Datenverkehrs, um bspw. Exfiltrationen festzustellen) und verstärkte Schulungsmaßnahmen der Mitarbeiter im Umgang mit E-Mails und dem Internet, die Wahrscheinlichkeit von Angriffen vermindern. Speziell die Techniken Social-Engineering und Phishing gelten als potentielle Einfallslöcher für den initialen Kontakt und dies geschieht überwiegend mittels vom Nutzer ausgeführter E-Mail Anhänge oder heruntergeladener Dateien. Neben dem technischen Know-how gilt es auch Verhaltensweisen bei infizierten Geräten zu trainieren, sodass diese nicht heruntergefahren, sondern wie erwähnt isoliert werden, um Angriffe durch Analysen zu kategorisieren und Schäden gezielt abwehren zu können.

Über die Autoren

Enrico Belgiovine ist Bachelorabsolvent der Hochschule Esslingen und arbeitet derzeit als Penetrationtester.

Bastian Buck ist in seiner Freizeit Malwareanalyst und momentan als Doktorand im Bereich der Netzwerksicherheit an der Hochschule Esslingen tätig. In früheren Arbeiten evaluierte er Unterschiede bei der Erkennung von Ransomware durch Wahl der Programmiersprache und analysierte Verhalten realer Malwaredropper/-loader.

Nils Lohmiller ist ebenfalls Doktorand im Bereich der IT-Sicherheit, genauer der Automotive Security an der Hochschule Esslingen.

Tobias Heer ist Professor für IT-Sicherheit und Dekan der Fakultät Informatik an der Hochschule Esslingen.

MFA unter Beschuss

Angreifer umgehen MFA mit gefälschten Microsoft OAuth Apps

(ID:50543846)