Dateilose Malware arbeitet vor allem im Speicher oder über bereits vorhandene vertrauenswürdige Werkzeuge ohne typische Programmdatei.
Der Schaden ist weiterhin unerwünschte Aktivität auf einem Gerät, doch eine Prüfung, die nur nach einer neuen verdächtigen Datei sucht, sieht vielleicht nichts Offensichtliches.
So funktioniert es
Die Aktivität kann im Speicher leben oder Verwaltungswerkzeuge lenken, denen die Administration für gewöhnliche Arbeit schon vertraut.
Weil diese Werkzeuge legitim sind, ist das Warnzeichen seltsame Nutzung, seltsame Zeit oder seltsame Ziele und nicht die bloße Anwesenheit des Werkzeugs.
Abwehr beobachtet Verhalten, begrenzt, wer mächtige Werkzeuge ausführen darf, und untersucht die Wirkung, ohne Befehle oder Werkzeugfolgen zu listen, die die Aktivität nachbauen würden.
Gerätedaten und eingeschränkte Rechte zählen hier mehr als eine Dateisperrliste allein.
Konkrete Beispiele
- Ein Server startet nachts ein vertrauenswürdiges Verwaltungswerkzeug, um eine Dateifreigabe zu erreichen, die dieser Server nie nutzt.
- Der Speicher eines Laptops hält einen unerwünschten Prozess, der beim Neustart verschwindet und nie als neues Programm auf der Platte erscheint.
- Ein Alarm entsteht, weil ein legitimes Werkzeug Post exportiert hat, was dieses Konto nie zuvor getan hatte.
Schutzmaßnahmen
- Begrenzen Sie, wer mächtige Verwaltungswerkzeuge ausführen darf, und lassen Sie sich warnen, wenn diese Werkzeuge außerhalb freigegebener Änderungsfenster laufen.
- Nutzen Sie Gerätedaten, um seltsames Verhalten zu untersuchen, und nicht nur Prüfungen, die nach einer neu abgelegten Datei suchen.
- Entziehen Sie Alltagskonten lokale Administrationsrechte, damit vertrauenswürdige Werkzeuge schwerer zum Schaden gewendet werden können.
- Beschreiben Sie in Hinweisen an Beschäftigte Wirkung und Eindämmung und lassen Sie Nachbaudetails aus öffentlichen Texten heraus.