Haben Signatur-basierte Antivirus-Lösungen ausgedient?

Anbieter zum Thema

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Symantec (Deutschland) GmbH

Die aktuelle Bedrohungslage

In den letzten zwei Jahren konnte eine starke Verlagerung auf das Web als Angriffsvektor beobachtet werden. Das bedeutet: Weg von den traditionellen Social- Engineering-Versuchen per E-Mail mit verlockendem Anhang hin zu infizierten Webseiten. Diese sogenannten Drive-By-Download-Attacken nutzen bereits beim bloßen Betrachten der Webseite Schwachstellen im Browser aus, um unbemerkt Schadcode auf dem Computer des Opfers zu installieren.

Dabei machen es die Browser den Kriminellen leicht: Studien zeigen, dass alleine im Jahre 2007 die meist verbreiteten Webbrowser zwischen 47 und 122 Schwachstellen aufwiesen. Selbst wenn der Browser gut gepatcht ist, bleiben noch immer die Schwachstellen in Zusatz-Plug-Ins, von denen es im Jahre 2007 genau 476 Fälle gab.

Auch die Art der Webseiten hat sich verändert. Waren es früher häufig Erotik- oder Cracker-Seiten, werden nun zunehmend legitime Webseiten geknackt und dann mit Schadcodes präpariert. Laut einer Google-Studie haben bereits 1,3 Prozent der Google-Nutzer mindestens einen bösartigen Link unwissentlich weitergeleitet, Tendenz steigend.

Natürlich gibt es für diese Tätigkeit automatisierte Tools auf den Untergrundmärkten zu kaufen. Selbst ein Laie kann damit entsprechende Angriffe durchführen. Es ist also nicht mehr die Frage, ob ein normaler Internetbenutzer angegriffen wird, sondern wann. Denn potenziell könnte auf jeder Webseite ein Schadcode lauern.

War eine Attacke auf den Benutzer erfolgreich, wird meistens auf dessen PC ein kleiner Schadcode installiert, der dann weitere Komponenten nachladen kann. Diese Downloader sind sehr schlank und für den Angreifer leicht automatisch herzustellen.

Wir haben sogar Fälle beobachtet, bei denen für jeden Besucher einer Drive-By-Download-Seite im Hintergrund ein neuer Trojaner kompiliert und gepackt wurde. Somit erhält das Opfer einen einzigartigen, speziell zugeschnittenen Schadcode, der danach nie wieder generiert wird. Dies erschwert nachträgliche Untersuchungen und hebelt zum Teil auch einfache Signatur-Filtermechanismen aus. Zusätzlich trägt das zu der eingangs erwähnten Flut von neuen Schädlingen bei.

Die nachgeladenen Komponenten können dann zum Beispiel Botnet Clients sein, die den Computer in den Verbund eines großen Botnetzes aufnehmen und Befehle erwarten, oder ein Infostealer-Trojaner, der Passwörter und Kreditkartendaten ausspioniert und weiterleitet. Ist einmal der Computer infiziert, sind die Möglichkeiten für den Angreifer grenzenlos, da er faktisch volle Kontrolle erlangt hat.

Um möglichst viel Profit zu machen, ist es natürlich im Interesse der Angreifer, möglichst lange unentdeckt die Kontrolle über einen Computer zu behalten. Deshalb werden alle gängigen Verschleierungs-Tricks angewendet.

Seite 3: Wieso Signaturen alleine nicht mehr zeitgemäß sind

(ID:2017129)