Verschleierung: Gut zu schützen, schwer zu erkennen

Was ist Verschleierung?

Obfuskation ist eine wichtige Technik zum Schutz von Software, birgt jedoch auch Risiken, insbesondere wenn sie von malware Entwickler eingesetzt wird. Wir haben uns das genauer angesehen:

Unter Verschleierung versteht man die Technik, Informationen absichtlich schwer verständlich zu machen, insbesondere im Bereich des Computercodes. Ein wichtiger Bereich der Verschleierung ist die Datenverschleierung, bei dersensible Daten unkenntlich gemacht werden, um sie vor unbefugtem Zugriff zu schützen. Dabei kommen verschiedene Methoden zum Einsatz. Beispielsweise können bestimmte Daten durch Platzhalter ersetzt werden – oft werden nur die letzten vier Ziffern einer Kreditkartennummer angezeigt, während die übrigen durch X oder Sternchen ersetzt werden. Die „ Verschlüsselung “ hingegenwandelt Daten in eine unlesbare Form um, die nur mit einem speziellen Schlüssel entschlüsselt werden kann.

Bei der Verschleierung von Computercode werden komplexe Sprache und redundante Logik eingesetzt, um den Code schwer verständlich zu machen. Das Ziel besteht darin, sowohl menschliche Leser als auch Programme wie Dekompilierer zu täuschen. Dies geschieht durchdie Verschlüsselung von Teilen des Codes, das Entfernen von Metadaten oder das Ersetzen aussagekräftiger Namen durch bedeutungslose.

Das Einfügen von ungenutztem oder sinnlosem Code ist ebenfalls eine gängige Praxis, um den eigentlichen Code zu verschleiern. Ein als Obfuscator bekanntes Werkzeug kann diese Prozesse automatisieren und den Quellcode so verändern, dass er zwar noch funktioniert, aber schwerer zu verstehen ist.

Andere Methoden der Verschleierung umfassen die Komprimierung des gesamten Programms, die Unlesbarkeit des Codes und die Veränderung des Kontrollflusses, um eine unstrukturierte, schwer zu wartende Logik zu schaffen. Auch das Einfügen von Dummy-Code, der die Logik oder das Ergebnis des Programms nicht beeinflusst, ist üblich. Oft werden mehrere Techniken kombiniert, um einen mehrschichtigen Effekt zu erzielen und die Sicherheit zu erhöhen.

Endpunkt Detection-and-Response-Systeme (EDR) arbeiten häufig mit verschleiertem Code, um weniger anfällig zu sein.Exeon.NDR hingegen ist als KI-basierte Network Detection and Response (NDR), im Netzwerk völlig unsichtbar und sendet selbst keinen Netzwerkverkehr, sodass Hacker die Lösung kaum erkennen oder manipulieren können und die Lösung keinen verschleierten Code benötigt.

Alles hat zwei Seiten

Leider ist die Verschleierung ein zweischneidiges Schwert - sie bietet Schutz, stellt aber auch eine Herausforderung dar, da sie nicht nur von legitimen Softwareentwicklern, sondern auch von Autoren bösartiger Software verwendet wird.

Ein bekanntes Beispiel ist der SolarWinds-Angriff aus dem Jahr 2020, bei dem die Hacker eine Verschleierung verwendeten, um die Verteidigungsmaßnahmen zu umgehen und ihre Angriffe zu verbergen.

(Bildquelle: Brookings)

Das Ziel der Verschleierung besteht darin, Cyberangreifer zu anonymisieren, das Risiko einer Entdeckung zu verringern und malware zu verbergen, indem die allgemeine Signatur und der Fingerabdruck des Schadcodes verändert werden – selbst wenn die Nutzdaten eine bekannte Bedrohung ist.

Die Signatur ist ein „ hash “, eine eindeutige alphanumerische Darstellung eines Elements aus „ malware “. Signaturen werden sehr häufig gehasht, können aber auch eine andere kurze Darstellung eines eindeutigen Codes innerhalb eines Elements aus „ malware “ sein.

Anstatt zu versuchen, durch eine Änderung der „ malware “ selbst eine neue Signatur zu erstellen, konzentriert sich die Verschleierung auf die Übertragungsmechanismen, um Antivirenlösungen zu täuschen, die auf Signaturen basieren (vergleiche dies mit dem Einsatz von maschinelles Lernen, prädiktiver Analytik und KI zur Stärkung der Abwehrmaßnahmen).

Genau wie bei guter Verschleierungkönnenauchbei schlechter Verschleierung verschiedene Techniken kombiniert werden, um malware zu verbergen, wodurch mehrere Verschleierungsebenen entstehen.Zu diesen Techniken gehören so genannte „Packer“ – Softwarepakete, die malware Programme komprimieren, um deren Vorhandensein zu verbergen und den ursprünglichen Code unlesbar zu machen. „Crypters“ können malware Programme oder Teile von Software verschlüsseln, um den Zugriff auf Code zu beschränken, der Warnmeldung ein Antivirenprodukt anhand bekannter Signaturen erkennen könnte. Eine weitere Technik ist das Einfügen von „Dead Code“, bei dem unwirksamer, nutzloser Code zu malware hinzugefügt wird, um das Erscheinungsbild eines Programms zu verschleiern. Angreifer können auch Befehlsmodifikationen einsetzen, bei denen die Befehlscodes in malware Programmen gegenüber den ursprünglichen Mustern verändert werden, was das Erscheinungsbild des Codes verändert, jedoch nicht dessen Verhalten , und die Reihenfolge und Abfolge der Skripte verändert. Exklusiv-ODER (XOR) ist eine gängige Verschleierungsmethode, bei der Daten so verborgen werden, dass sie nur von denjenigen gelesen werden können, die XOR-Werte von 0x55 auf den Code anwenden. Schließlich ist ROT13 eine ASM-Anweisung für „rotate“, die zufällige Buchstaben durch Code ersetzt.

Die Verschleierung des Codes ist jedoch nur der erste Schritt: Ganz gleich, wie viel Aufwand der Hacker in die Verschleierung des Codes steckt, um EDR zu umgehen – der malware muss innerhalb des Netzwerks und nach außen kommunizieren, um „erfolgreich“ zu sein. Das bedeutet, dass auch die Kommunikation verschleiert werden muss. Im Gegensatz zu früher, als Netzwerke so schnell wie möglich gescannt wurden und sofort versucht wurde, Daten im größtmöglichen Terabyte-Bereich auf einmal zu extrahieren, gehen Angreifer heute leiser vor, damit die Sensoren und Switches der Überwachungstools nicht Alarm schlagen. Das Ziel, beispielsweise über „ Scan “ IP-Adressen zu ermitteln, wird langsam verfolgt, um unter dem Radar zu bleiben. Auch die „ Aufklärung “, bei der die Akteure von „ Bedrohung “ versuchen, erste Schwachstellen ihrer Zielopfer, z. B. deren Netzwerkarchitektur, zu erfassen, verläuft zunehmend langsamer und weniger transparent.

Fallstudien: Verschleierte Angriffe

PowerShell

In einem „interessanten“ Beispiel für Verschleierung wird ein Microsoft-Windows-Tool namens PowerShell von Angreifern missbraucht. Malware , das PowerShell missbraucht, verschleiert seine Aktivitäten durch Techniken wie Zeichenfolgenkodierung, Befehlsverschleierung, dynamische Codeausführung, Umgebungserkennung, polyglotes Scripting und dateilose Ausführung. Diese Methoden verbergen die wahre Absicht und Struktur des malware, was es für Sicherheitssysteme schwierig macht, ihn zu erkennen und zu analysieren.

XLS.HTML

Bei einem kürzlich erfolgten Cyberangriff nutzte eine Hackergruppe ausgeklügelte Verschleierungstechniken, um ihre böswilligen Aktivitäten zu verbergen. Sie hatten es auf eine „ phishing “-Kampagne namens „XLS.HTML“ abgesehen und änderten ihre „ Verschlüsselung “-Methoden im Laufe eines Jahres mindestens zehnmal, um einer Entdeckung zu entgehen. Zu ihren Taktiken gehörten die Verwendung von Klartext, Escape-Kodierung, Base64-Kodierung und sogar Morsecode. Dieser sich ständig ändernde Ansatz zeigt, dass Angreifer wissen, dass sie ihre Methoden ständig variieren müssen, um Sicherheitsmaßnahmen zu überlisten.

ThinkPHP

ThinkPHP ist ein Open-Source-Webanwendungs framework , der häufig zur Entwicklung von PHP-basierten Webanwendungen verwendet wird. Angreifer nutzten die ThinkPHP-Sicherheitslücken CVE-2018-20062 und CVE-2019-9082 aus, um Remote-Code auf Servern auszuführen. Sie umgingen typische automatisierte Tools, indem sie eine verschleierte Web-Shell namens „Dama“ von einem Remote-Server installierten, die ihnen dauerhaften Zugriff und weitere Angriffe ermöglichte. Diese ausgefeilte Verschleierung zeugt von einem raffinierten Ansatz bei Cyberangriffen.

Warum Sie Unterschriften nicht vertrauen sollten (nur)

Die signaturbasierte Erkennung ist bei bekannten Bedrohungen wirksam, kann jedoch weder Schwachstellen vom Typ „ zero-day “ noch verschleierte Angriffe erkennen. Und zwar aus folgendem Grund:

• Variabilität der Verschleierung:Die Autoren von „Malware “ verwenden verschiedene Techniken, um ihren Code „ malware “ zu verschleiern. Dies kann die Erstellung zuverlässiger Signaturen erschweren. Schon geringfügige Änderungen am Code können dazu führen, dass die Signatur nicht mehr funktioniert.
• Polymorphe „ malware “:Polymorphe „ malware “ ändern ständig ihre Struktur, um einer Erkennung zu entgehen. Bei jeder Ausführung sieht der Code anders aus, wodurch es unmöglich ist, statische Signaturen zu erstellen.
• Metamorphes „ malware “:Metamorphes „ malware “ passt sich während der Ausführung an und verändert seinen Code dynamisch. Dies erschwert die Erstellung statischer Signaturen zusätzlich.
• Zero-day Exploits:Signaturbasierte Lösungen stützen sich auf bekannte Bedrohungen. Bei „ zero-day “-Exploits, die neu und unbekannt sind, versagen sie.
• Falsch positive Ergebnisse: Wenn eine signaturbasierte Lösung zu viele Fehlalarme liefert, kann sie ineffizient sein. False Positives können die Ressourcen des Sicherheitsteams belasten.

Es könnte eine Antwort geben...

Anomalie-basierte IDS Lösungen hingegen erstellen ein Modell des normalen System Verhalten s und erkennen ungewöhnliche Aktivitäten.

NDR-Toolswie Exeon.NDR passen sich kontinuierlich an, um der sich ständig weiterentwickelnden Cyber Bedrohung Umgebung immer einen Schritt voraus zu sein. Sie spielen eine entscheidende Rolle bei der Erkennung von malware und Command-and-Control-Kanälen (C2), selbst wenn diese Verschleierungstechniken verwenden. Und so funktioniert das:

Verhaltensanalyse:

Exeon.NDR überwacht die „ Verhalten “ des Netzwerkverkehrs. Es identifiziert ungewöhnliche Muster, die auf „ C2 “-Kommunikation hindeuten könnten, wie beispielsweise „outer-periodic“-Datenübertragungen. Es untersucht HTTP-Anfragen, den „ DNS “-Verkehr und andere Protokolle, um unregelmäßige oder verdächtige „ Verhalten “ oder Kommunikation zu erkennen, die möglicherweise mit (verschleierter) bösartiger „ Verhalten “ in Verbindung stehen.

Anomalie Erkennung auf Metadaten -Ebene und KI-Analyse:

Exeon.NDR analysiert „ Metadaten “, um ungewöhnliche Muster zu identifizieren, die auf verdächtige Aktivitäten hindeuten. „ maschinelles Lernen “-Modelle sind in der Lage, typische Verschleierungstechniken zu erkennen, die sich durch verdächtige „ Verhalten “ im Netzwerkverkehr zeigen, z. B. die Ausführung atypischer Kommunikationsvorgänge, die mit verschleiertem Code in Verbindung stehen könnten.

Da „ malware “ sowohl innerhalb des Netzwerks als auch nach außen kommunizieren muss, um erfolgreich zu sein, erfolgt dies ebenfalls in verschleierter Form. Angreifer gehen heutzutage leiser und langsamer vor, um unentdeckt zu bleiben: Exeon.NDR setzt daher auf eine langfristige Kommunikationsüberwachung und betrachtet neben der Fähigkeit, Batch-Läufe innerhalb weniger Minuten durchzuführen, auch längere Zeiträume, z. B. drei Tage, um Vergleichswerte zu erhalten, Regelmäßigkeiten zu erkennen und daraus Abweichungen zu identifizieren.

Echtzeit Dies würde hier zu einer großen Anzahl von Warnmeldungen führen, wenn beispielsweise jede Minute ein Ping an scan erkannt wird, der zwar eine Warnmeldung auslöst, aber nicht unbedingt böswilliger Natur sein muss.

Exeon.NDR tauscht „ Bedrohung “-Daten mit anderen Sicherheitslösungen aus und ermöglicht so eine schnellere Erkennung bekannter Verschleierungstechniken und verdächtiger Verhalten.

Durch die Integration mit den Lösungen von „ EDR “ korreliert Exeon.NDR verdächtige Aktivitäten, die auf Endgeräten erkannt werden, mit dem Netzwerkverkehr. Dieser umfassende Ansatz verbessert die Sicherheitsanalyse erheblich.

Fall gelöst

Die Log4j-Sicherheitslücke, auch bekannt als CVE-2021-44228 oder Log4Shell, ermöglicht es Angreifern, aus der Ferne die Kontrolle über anfällige Systeme zu übernehmen. Dies geschieht, weil die Log4j-Bibliothek bestimmte Eingaben nicht ordnungsgemäß verarbeitet. Angreifer können eine speziell gestaltete Anfrage senden, um diese Schwachstelle auszunutzen, wodurch sie bösartigen Code auf dem Zielsystem ausführen können. Diese Sicherheitslücke wurde bereits in großem Umfang ausgenutzt, wobei Angreifer Trojaner malware und Krypto-Miner auf betroffenen Systemen installierten. Um einer Entdeckung zu entgehen, verschleiert der „ malware “ seine Funktionen und Dateinamen durch Verschleierung.

Exeon.NDR nutzt „ Metadaten “ zur Analyse des Netzwerkverkehrs und stützt sich dabei auf Erkenntnisse aus dem Bereich der künstlichen Intelligenz sowie auf „ Bedrohung Intelligence“ von Mitre und Zeek. Dies ermöglicht es uns, schnell effektive Abfragen zu erstellen, um alle verfügbaren Netzwerkdaten zu untersuchen. Wir können alle während eines Angriffs hergestellten Verbindungen einsehen und auf Anzeichen für erfolgreiche Eindringversuche prüfen. Außerdem suchen wir nach gängigen Kommunikationsmethoden wie LDAP, LDAPS und RMI, die häufig in Verbindung mit Log4j genutzt werden, und suchen nach weiteren Indikatoren für Kontrollkommunikation, indem wir bestimmte Java-Klassen untersuchen, von denen bekannt ist, dass sie bei solchen Angriffen verwendet werden. Bei der Untersuchung der Log4j-Sicherheitslücke können wir Anzeichen für versuchte Angriffe auf mit dem Internet verbundene Server schnell identifizieren und böswillige Aktivitäten aufdecken.

Möchten Sie erfahren, wie Exeon.NDR in Ihrem System und Ihrem Unternehmen funktioniert? Sehen Sie sich diese Aufzeichnung des „ demo “ mit einer ausführlichen „ Bedrohung “ an, um mehr zu erfahren!