Digitale Monster - Die gruseligsten Malware-Arten im Kostümvergleich

Auch wenn Halloween vorbei ist, die Kostüme der Malware bleiben das ganze Jahr an. Ein Streifzug durch die gruseligsten Verkleidungen der Schadsoftware-Welt.

Lesezeit:

5 min

Share

An Halloween verkleiden sich Menschen als Monster, um für einen Abend jemand anderes zu sein. Manche digitale Schädlinge tragen ihr Kostüm dagegen jeden einzelnen Tag im Jahr. In Teil 1 unserer Malware-Serie haben wir bereits den Unterschied zwischen Viren und Würmern erklärt. Zeit, das Gruselkabinett zu erweitern.

Das trojanische Pferd: Verkleidet als Geschenk

Kein Malware-Kostüm ist so alt und so wirkungsvoll wie das des Trojaners. Der Name geht auf die griechische Sage zurück, in der ein hölzernes Pferd als Geschenk vor die Stadtmauern Trojas gestellt wurde, während sich im Inneren feindliche Soldaten versteckten. Wer diesen Sommer Christopher Nolans Kinoepos “The Odyssey” gesehen hat, kennt die Geschichte, die danach beginnt, denn genau diese List markiert das Ende des Trojanischen Krieges und den Startpunkt von Odysseus’ langer Heimreise. Das Prinzip selbst überträgt sich eins zu eins auf die digitale Welt. Ein Trojaner tarnt sich als nützliches Programm, ein kostenloses Spiel, ein praktisches Tool, während im Hintergrund unbemerkt Schadcode ausgeführt wird.

Das Tückische an diesem Kostüm ist, dass es sich nicht selbst verbreitet wie ein Wurm. Es braucht jemanden, der das Geschenk freiwillig durch die eigene Stadtmauer trägt, sprich: selbst herunterlädt und ausführt. Einmal im System, kann ein Trojaner sehr unterschiedliche Masken tragen: Manche stehlen im Stillen Zugangsdaten, manche öffnen eine Hintertür für weitere Angreifer, wieder andere laden im Hintergrund noch mehr Schadsoftware nach.

Ransomware: Der Werwolf mit zwei Verwandlungen

Ransomware selbst haben wir bereits an anderer Stelle behandelt, wer sich mit einer guten Backup-Strategie schützen will, findet dazu einen eigenen Artikel. Besonders raffiniert an diesem Kostüm ist eine zweite Verwandlung, die viele Opfer nicht kommen sehen. Klassisch verschlüsselt Ransomware Dateien, bis ein Lösegeld gezahlt wird. Viele aktuelle Varianten kopieren aber schon vorher in aller Stille sensible Daten aus dem Netzwerk. Zahlt das Opfer nicht, folgt die zweite Verwandlung: die Drohung, die gestohlenen Daten zu veröffentlichen oder weiterzuverkaufen.

Diese sogenannte doppelte Erpressung bedeutet, dass selbst ein funktionierendes Backup das eigentliche Problem nicht mehr vollständig löst. Die Daten sind schließlich schon vorher entwendet worden.

Spyware und Keylogger: Der unsichtbare Beobachter

Manche Kostüme sind leise, geduldig, unsichtbar. Spyware nistet sich im System ein und beobachtet, ohne jemals ihre Anwesenheit zu verraten. Eine besondere Unterart davon sind Keylogger, digitale Lauscher, die jeden einzelnen Tastenanschlag protokollieren, vom belanglosen Chat bis zum Online-Banking-Passwort.

Das unterscheidet dieses Kostüm von der Stealer-Malware, die wir bereits in einem eigenen Artikel vorgestellt haben. Während ein Stealer meist einmalig zuschlägt und alles mitnimmt, was er findet, ist ein Keylogger der geduldige Beobachter, der über Wochen und Monate mitschreibt, selbst Passwörter, die erst lange nach der Infektion vergeben werden. Der Computer läuft dabei weiter wie gewohnt, nur ein stiller Mitschnitt setzt sich fort.

Das Rootkit: Der Meister der Verkleidung

Wenn andere Malware-Arten Kostüme tragen, dann trägt ein Rootkit eine Maske, die sich selbst unsichtbar macht. Der Name setzt sich aus “root”, der höchsten Berechtigungsstufe in vielen Betriebssystemen, und “Kit”, einem Werkzeugkasten, zusammen: ein Werkzeugkasten, mit dem sich ein Angreifer tiefsten Systemzugriff verschafft und diesen gleichzeitig vor jedem verbirgt, der danach sucht.

Öffnet man die Dateiverwaltung, um nach einer verdächtigen Datei zu suchen, klinkt sich ein Rootkit in genau die Systemfunktion ein, die dem Nutzer die Dateiliste zurückgibt, und filtert die eigenen Dateien einfach heraus. Dasselbe Prinzip funktioniert beim Task-Manager und sogar beim Virenscanner, der schlicht eine geschönte, falsche Antwort erhält. Man sucht hier nicht vergeblich, weil man am falschen Ort sucht, sondern weil das Werkzeug, mit dem man sucht, selbst kompromittiert wurde und wissentlich lügt. In schweren Fällen hilft deshalb oft nur eine vollständige Neuinstallation von einem sauberen, extern geprüften Datenträger aus.

Das Botnetz: Die Zombie-Horde

Ein einzelner infizierter Rechner ist eine Sache. Tausende oder Millionen davon, ferngesteuert von einer einzigen Kommandozentrale, sind ein Botnetz, die digitale Entsprechung einer Zombie-Horde. Das Gruselige daran ist nicht der einzelne Zombie, sondern die Masse. Gemeinsam können Tausende gekaperte Geräte für DDoS-Angriffe oder massenhaften Spam-Versand eingesetzt werden, während ihre Besitzer oft nichts davon merken, außer vielleicht einer spürbar langsameren Internetverbindung.

Scareware: Der lärmende Poltergeist

Nicht jedes Monster schleicht sich leise an. Manche brechen mit voller Lautstärke durch die Tür, in Form von blinkenden Pop-ups und Meldungen, die verkünden, der eigene Computer sei bereits mit Dutzenden Viren infiziert. Scareware tarnt sich meist als seriöse Sicherheitssoftware und setzt ganz auf den Schockeffekt. Sie muss niemanden austricksen, der genau hinschaut, sie muss nur schnell genug Panik erzeugen. Wer der Aufforderung folgt und die angebliche Rettungssoftware installiert, bekommt oft genau das Gegenteil: zusätzliche Schadsoftware. Verwandt damit ist Adware, die stattdessen unermüdlich Werbung einblendet und das eigene Surfverhalten mitschneidet. Beide setzen, anders als die übrigen Monster in dieser Liste, nicht auf Tarnung, sondern auf laute Aufdringlichkeit, gerade deshalb aber überraschend wirksam.

Wenn das Kostüm schon längst gefallen ist

Das eigentlich Gruselige an all diesen Verkleidungen ist, dass sie meist erst dann auffallen, wenn der Schaden bereits entstanden ist. Viele dieser Angriffe enden am selben Punkt, nämlich in gestohlenen Zugangsdaten, die irgendwann in einem Datenleak auftauchen, unabhängig davon, welches Kostüm ursprünglich dafür verantwortlich war. Wer regelmäßig prüft, ob die eigenen Zugangsdaten bereits in einem solchen Fund aufgetaucht sind, kann genau in diesem Moment reagieren, statt erst beim nächsten unerklärlichen Vorfall zu ahnen, dass irgendwo im System schon länger etwas nicht stimmt. Mit unserem kostenlosen Leak Inspector lässt sich das in wenigen Minuten überprüfen, ganz ohne Kostüm und ohne Überraschung.