Kurz vorgestellt: VirusTotal Geniale Toolbox für Virenjäger

Schadsoftware wie Viren, Würmer, Keylogger und Ransomware, sind aus Firmennetzwerken kaum mehr fern zu halten. Will man AV-Tools nicht blind vertrauen, sondern Malware selbst enttarnen, braucht man das richtige Werkzeug. VirusTotal ist als Tool seit Jahren aus dem Arsenal der Virenjäger nicht mehr wegzudenken. Den meisten IT-Experten ist es nur als Multi-Antivirus-Maschine ein Begriff, aber der Service bietet so viel mehr!

Anbieter zum Thema

SEPPmail - Deutschland GmbH

TXOne Networks

IT-Sicherheit ist ein immer komplexeres Themenfeld und es wird für Unternehmen immer komplizierter, in einer sich stetig verändernden Umgebung, die IT Sicherheit zu gewährleisten. Regelwerke, Tools und engagierte Mitarbeiter sind dabei die tragenden Pfeiler für den Unternehmensschutz. Ein Übel, mit dem sich Privatanwender und Unternehmen gleichermaßen auseinandersetzen müssen ist Malware. Computerviren, Trojaner, Backdoors, Ransomware und all die andere Varianten erfordern ein Engagement und topaktuelle Tools, um sich dagegen erfolgreich zu behaupten. Jeder der mit Malware zu tun hat, kennt die gängigen Online-Virenscanner und Malware-Analyzer wie VirusTotal, Jotti oder VirSCAN und andere.

VirusTotal zählt dabei zweifelsfrei zu den Spitzenprodukten in der Szene. Der Online-Scanner, wurde von der Security-Firma Hispasec entwickelt und im Jahr 2012 von Google aufgekauft. Täglich werden hunderttausende von Dateien und URLs zu VirusTotal hochgeladen und durch rund sechzig verschiedenen Scanner und Analysewerkzeuge überprüft. Sollten die hochgeladenen Dateien eine Malware enthalten, kann man mit davon ausgehen, dass diese via VirusTotal entdeckt wird. Wobei man aber auch den Fall einkalkulieren sollte, das sich in der hochgeladenen Datei eine neue, bis dato nicht analysierte Malware enthalten ist, die noch von keinem Virenscanner entdeckt wird! Letztendlich ist diese auch davon abhängig, wie risikofreudig der Einreicher ist. Otto Normaluser bekommt sehr selten neue Malware als erster zu Gesicht. Der CEO eines Unternehmens, der via Spear-Phishing attackiert wird oder der IT-Crack, der der sich viel im Deep Web bewegt, unterliegen dagegen einem höheren Risiko.

Bildergalerie

Bildergalerie mit 11 Bildern

Runderneuerung und mehr Funktionen

VirusTotal ist, auch wenn es nicht den Anschein erweckt, eine sehr aktive Einrichtung. Viele Änderungen und Erweiterungen werden umgesetzt und bleiben dem gelegentlichen Nutzer verborgen oder werden nicht als solche wahrgenommen. Manch einer wird auch überrascht sein, wenn er dieser Tage die Webseite von VirusTotal aufruft – denn im August hat die GUI nach Jahren eine optische Aufarbeitung erhalten. Allerdings war dies zu erwarten, denn die amerikanische Webseite Bleepingcomputer vermeldete schon am 15.Juni 2017, eine bevorstehende Änderung der GUI von VirusTotal.

Der GUI-Relaunch bietet eine gute Gelegenheit, erneut einen Blick auf VirusTotal zu werfen, denn die angebotenen Services und Informationen machen das Leben für Malware-Beauftragte deutlich komfortabler, sind aber leider oft nicht bekannt. Dazu zählen:

• die verfügbaren Browser-Erweiterungen,

• die VirusTotal-Desktop-Applikation,

• Malware-Statistiken,

• das VirusTotal-Blog und

• Private-Services

Browser-Extensions, Desktop- und Mobile Apps

In der breiten Masse fast unbekannt, aber sehr sinnvoll sind die verfügbaren Browser Extentions für Chrome, Mozilla und IE, eine eigene Desktop Applikation für Windows, Mac OS X und Linux und auch eine (inoffizielle) Mobile App für Android mit dem Namen „VirusTotalMobíle“.

Die Desktop-App erlaubt es beispielsweise, aktive Prozesse bzw. deren dazugehörendes Exe-File zur Analyse einzureichen. Ein tolles Feature, wenn man im Prozess-Umfeld ein Problem vermutet aber keine relevanten Informationen hat. Die Recherche über eine Suchmaschine mit Informationen zu einem Prozess lässt sich hier im Idealfall optimieren und bringt schnell nützliche Informationen.

Wertvolle Statistiken

Aktuell noch nicht umgestellt sind die Statistiken! Auf Nachfrage bestätigte VirusTotal jedoch, dass die „alten URLs“ noch so lange genutzt werden können, bis alles umgestellt wurde. Dies ist eine wichtige Information, denn die VirusTotal-Statistiken sind eine wichtige Informationsbasis, die wöchentlich aktualisiert wird.

Auf die Frage: „Was ist denn aktuell los in der Szene - wo liegen die Angriffsschwerpunkte“, liefern diese Statistiken mehrschichtige Antworten. Für die KW 32/33 2017 lässt sich beispielsweise feststellen, dass bevorzugt HTML-, EXE32- und PDF-Dateien weltweit hochgeladen wurden. Dies lässt die Vermutung zu, dass die VirusTotal-Nutzer Gefahren bei Webseiten sehen und auch bei typischen Downloads, die ausführbare Programme und PDF-Dateien enthalten. Für den Security-Admin könnte dies beispielsweise bedeuten, seinen Schutz hinsichtlich PDF-Dateien zu verstärken und ggf. zusätzliche Analysetools auf seinen Gateway-Systemen einzusetzen oder lokal dem Endanwender zur Verfügung zu stellen. Für das Security-Personal kann auch die Anzahl der Uploads je Land eine wertvolle Information darstellen. Im relevanten Zeitraum wurden rund 119 Tausend Uploads (entspricht ~ 2,5 Prozent aller Einsendungen) aus Deutschland durchgeführt. Steigt dieser Wert massiv an, könnte es ein Indiz für eine Angriffswelle sein, die gerade in Deutschland läuft und verstärkt die Security-Verantwortlichen beschäftigt.

Auch das VirusTotal-Blog enthält eine Fülle von interessanten Informationen, die man nur richtig interpretieren muss. So wurde am 6.Juli 2017 Cylance, am 4. Juli 2017 MAX von SaintSecure aus Korea und am 14. März 2017 SentinelOne in die aktive Menge der Scanner-Produkte aufgenommen. Der Mehrwert dieser Information liegt hier in der Erkennungsrate von Malware. Mit VirusTotal lässt sich einfach ermitteln, wie die neu hinzugefügten (Advanced) Tools im Vergleich zu den etablierten Produkten abschneiden. Ebenso kann es für Unternehmen mit globaler Ausprägung interessant sein, zu wissen wie regionale Produkte (MAX aus Korea) sich bei der Detektion von regionalen Bedrohungen bewähren. Oft haben diese Tools eine deutlich bessere Erkennungsqualität, von Threads die in der Region ihren Ursprung haben, als klassische Security-Produkte aus Europa oder Amerika. Am 30. August hat das Blog dann schließlich einen ausführlichen Bericht über die optischen Neuerungen gebracht.

Mitunter braucht es auch einfach mal nur den Rat eines Experten in einer kritischen Situation – auch den findet man mit etwas Glück bei VirusTotal. Denn VirusTotal ist nicht nur ein Dienstleister, sondern bietet auch einen Platz für eine engagierte Security-Community!

Über die Suchfunktion, kann man auch nach unterschiedlichen Informationen suchen. Die angegeben URL klärt hierzu auf und nennt Beispiele. Mit etwas Glück, ist ja gerade die Info dabei, die man händeringend sucht, um mit einer Malware erfolgreich umzugehen.

Bildergalerie

Bildergalerie mit 11 Bildern

Private Services: API, Graph, Monitor und Intelligence

Deutlich erweitert wurden auch die „Private-Services“. Diese stehen jedoch nur angemeldeten Usern zur Verfügung, wobei eine Anmeldung problemlos möglich ist.

Etablierte Funktionen, wie ein eigener API-Key der Zugriff auf VirusTotal ermöglicht, ohne die GUI zu nutzen und so in eigenen Applikationen genutzt werden kann, wurden beibehalten. Aber auch neue, clevere Funktionen wie Monitor, Graph oder Intelligence wurde bei VirusTotal implementiert.

VirusTotal-Monitor ist eine Erweiterung, die Programmierer unterstützt. Der Programmiere kann sein eigenes Programm in einen geschützten Bereich hochladen um es dort periodisch mit dem Set an Analysewerkzeugen überprüfen zu lassen. Sollte sich hierbei ein False Positve ergeben, kann der Programmentwickler darauf reagieren.

Bei VirusTotal-Graph werden aus der Menge der über die Jahre von VirusTotal gesammelten Malware-Analysen, Beziehungen untereinander und zum aktuelle hochgeladenen File dargestellt. In einer dynamischen Korrelations-Grafik, werden dabei Informationen, wie die Download-URL einer Datei, die IP-Adressen, die vom File verwendet werden, die Daten innerhalb des PE-Headers, wiederverwendete Dateien etc. visualisiert. Dies ermöglicht es beispielsweise, die Herkunft einer Malware besser zu indentifizieren und Rückschlüsse auf die mögliche Funktion zu ziehen.

Die VirusTotal-Intelligence rundet schließlich die Analysebestrebungen ab und ermöglicht es, einzelne Malware-Eigenschaften zu tracken und auf weiteren Wegen zu analysieren. „Intelligence“ ist von der Ausrichtung her ebenso zu sehen, wie die Features die einige andere AntiMalware-Hersteller unter dem Begriff kombinieren. Wie gut dies gelingt, wird man sehen. Denn aktuell ist diese Funktion nur in einer „Trial Period“ anzufordern. Bei den anderen Privaten Services scheint man schon weiter zu sein, denn diese werden für „Alpha Tester“ angeboten.

Malware-Analyse

Online-Virenscanner und Malware-Analyzer im Unternehmenseinsatz

Fazit des Autors

VirusTotal ist ein Spitzenprodukt und hat in seinem aktuellen Relaunch einiges dafür getan, diese Position auch in Zukunft einzunehmen. Wer seine Anti-Malware-Aktivitäten ausbauen möchte und plant, Abläufe zu automatisieren oder zu vereinfachen, ist bei VirusTotal gut aufgehoben. Sei dies nun mit einem API-Key, der VirusTotal-Scriptsprache YARA oder den neuen Private Services. VirusTotal bietet für jeden ein durchdachtes Set an Funktonen um die eigene Malware-Policy zu stärken.

Der große Vorteil ist jedoch, ein Werkzeug wie VirusTotal ist nah am Puls der Zeit. Bevor Informationen in einem Hersteller-Blog oder Newsletter auftauchen, kann man möglicherweise via VirusTotal schon einen Hinweis auf das kommende erhalten. Bei globalen Bedrohgungen zählen oft Minuten – vielleicht die Minuten, die man sich mit einer geschickten und innovativen VirusTotal-Nutzung erarbeiten kann.

(ID:44869205)