Thomas.will: Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

2026-10-21T14:22:20Z

Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

← Nächstältere Version		Version vom 21. Oktober 2026, 14:22 Uhr
Zeile 1:		Zeile 1:
	~~Teil der Übersicht~~ [[~~Malware]]. Was für eine~~ Schadsoftware ~~ist das? Drei Fragen helfen beim Einordnen.~~		#WEITERLEITUNG [[Schadsoftware/Malware]]

	Eine Schadsoftware lässt sich mit drei Fragen einordnen. Ein Programm kann dabei mehrere Antworten gleichzeitig haben: Ein Trojaner kann eine Ransomware nachladen, die sich als Wurm im Netz verbreitet.

	~~== Wie verbreitet sie sich? ==~~
	~~;Virus~~
	*Hängt sich an einen Wirt (Programm, Dokument, Bootsektor) und wird erst aktiv, wenn der Wirt ausgeführt wird.
	*Braucht eine Aktion des Benutzers.
	~~;Wurm~~
	*Verbreitet sich '''selbstständig''' über das Netz, meist über eine Schwachstelle in einem erreichbaren Dienst.
	*Braucht keinen Benutzer. Deshalb verbreiten sich Würmer in Minuten über ganze Netze.
	*Beispiel: WannaCry (2017) nutzte eine Schwachstelle im SMB-Dienst von Windows.
	~~;Trojaner~~
	*Tarnt sich als nützliches Programm oder harmlose Datei, der Benutzer startet ihn selbst.
	*Vermehrt sich nicht von allein, sondern öffnet die Tür für weitere Schadsoftware.
	*Siehe [[Arten von Trojaner & bekannte Trojaner]].

	~~== Was tut sie? ==~~
	~~{\| class="wikitable"~~
	~~! Art !! Was sie tut !! Ziel des Angreifers~~
	\|-
	~~\| '''Ransomware''' \|\| verschlüsselt Daten, oft vorher kopiert („doppelte Erpressung“: zahlen, sonst wird veröffentlicht) \|\| Lösegeld~~
	\|-
	~~\| '''Infostealer''' \|\| stiehlt gespeicherte Passwörter, Browser-Cookies, Sitzungen, Krypto-Wallets \|\| Zugangsdaten verkaufen oder selbst nutzen; gestohlene Sitzungs-Cookies umgehen sogar MFA~~
	\|-
	~~\| '''Spyware, Keylogger''' \|\| zeichnet Eingaben, Bildschirm, Mikrofon auf \|\| Spionage~~
	\|-
	~~\| '''RAT / Backdoor''' \|\| Fernsteuerung des Rechners (''Remote Access Trojan'') \|\| dauerhafter Zugang, siehe [[Backdoor]]~~
	\|-
	~~\| '''Bot''' \|\| macht den Rechner zum Teil eines Botnetzes \|\| DDoS, Spam, Weiterverkauf, siehe [[Botnetze]]~~
	\|-
	~~\| '''Loader~~ / ~~Dropper''' \|\| lädt die eigentliche Schadsoftware erst nach \|\| unauffälliger Erstzugang, Weiterverkauf des Zugangs~~
	\|-
	~~\| '''Wiper''' \|\| löscht oder zerstört Daten, oft als Ransomware getarnt \|\| Sabotage~~
	\|-
	~~\| '''Cryptominer''' \|\| nutzt Rechenleistung zum Schürfen von Kryptowährung \|\| Geld, auf Kosten von Strom und Leistung~~
	\|-
	~~\| '''Adware''' \|\| blendet Werbung ein, leitet Suchanfragen um \|\| Werbeeinnahmen~~
	\|}

	~~== Wie versteckt sie sich? ==~~
	~~;Rootkit~~
	*Versteckt Prozesse, Dateien und Netzverbindungen vor dem Betriebssystem und damit vor dem Virenschutz.
	~~;Bootkit~~
	*Nistet sich vor dem Betriebssystem ein. Früher im MBR (siehe [[Bootsektorviren]]), heute in der UEFI-Startkette.
	*Gegenmittel: '''Secure Boot''' und aktuelle Firmware. Selbst Secure Boot wurde schon umgangen (BlackLotus, 2023), deshalb zählen auch hier Updates.
	~~;Polymorph und metamorph~~
	*Virenscanner suchen nach Signaturen, also typischen Bytefolgen.
	*Polymorphe Malware ~~verschlüsselt sich bei jeder Kopie neu, metamorphe Malware schreibt sogar ihren eigenen Code um. Die Signatur ändert sich jedes Mal.~~
	~~;Packer und Crypter~~
	*Die Schadsoftware wird gepackt oder verschlüsselt und erst im Speicher entpackt. Auf der Platte liegt nur unauffälliger Code.
	~~;Dateilos (''fileless'') und Living off the Land~~
	*Es landet keine Schadsoftware als Datei auf der Platte. Stattdessen werden vorhandene Bordmittel missbraucht: PowerShell, mshta, rundll32, certutil, WMI.
	*Diese Programme heißen ''LOLBins'' (Living off the Land Binaries). Sie sind signiert und legitim, ein Virenscanner schlägt deshalb nicht an.

	~~[[Kategorie:Cybersecurity~~]]

Thomas.will: Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

2026-10-21T08:30:31Z

Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz

Neue Seite

Teil der Übersicht [[Malware]]. Was für eine Schadsoftware ist das? Drei Fragen helfen beim Einordnen.

Eine Schadsoftware lässt sich mit drei Fragen einordnen. Ein Programm kann dabei mehrere Antworten gleichzeitig haben: Ein Trojaner kann eine Ransomware nachladen, die sich als Wurm im Netz verbreitet.

== Wie verbreitet sie sich? ==
;Virus
*Hängt sich an einen Wirt (Programm, Dokument, Bootsektor) und wird erst aktiv, wenn der Wirt ausgeführt wird.
*Braucht eine Aktion des Benutzers.
;Wurm
*Verbreitet sich '''selbstständig''' über das Netz, meist über eine Schwachstelle in einem erreichbaren Dienst.
*Braucht keinen Benutzer. Deshalb verbreiten sich Würmer in Minuten über ganze Netze.
*Beispiel: WannaCry (2017) nutzte eine Schwachstelle im SMB-Dienst von Windows.
;Trojaner
*Tarnt sich als nützliches Programm oder harmlose Datei, der Benutzer startet ihn selbst.
*Vermehrt sich nicht von allein, sondern öffnet die Tür für weitere Schadsoftware.
*Siehe [[Arten von Trojaner & bekannte Trojaner]].

== Was tut sie? ==
{| class="wikitable"
! Art !! Was sie tut !! Ziel des Angreifers
|-
| '''Ransomware''' || verschlüsselt Daten, oft vorher kopiert („doppelte Erpressung“: zahlen, sonst wird veröffentlicht) || Lösegeld
|-
| '''Infostealer''' || stiehlt gespeicherte Passwörter, Browser-Cookies, Sitzungen, Krypto-Wallets || Zugangsdaten verkaufen oder selbst nutzen; gestohlene Sitzungs-Cookies umgehen sogar MFA
|-
| '''Spyware, Keylogger''' || zeichnet Eingaben, Bildschirm, Mikrofon auf || Spionage
|-
| '''RAT / Backdoor''' || Fernsteuerung des Rechners (''Remote Access Trojan'') || dauerhafter Zugang, siehe [[Backdoor]]
|-
| '''Bot''' || macht den Rechner zum Teil eines Botnetzes || DDoS, Spam, Weiterverkauf, siehe [[Botnetze]]
|-
| '''Loader / Dropper''' || lädt die eigentliche Schadsoftware erst nach || unauffälliger Erstzugang, Weiterverkauf des Zugangs
|-
| '''Wiper''' || löscht oder zerstört Daten, oft als Ransomware getarnt || Sabotage
|-
| '''Cryptominer''' || nutzt Rechenleistung zum Schürfen von Kryptowährung || Geld, auf Kosten von Strom und Leistung
|-
| '''Adware''' || blendet Werbung ein, leitet Suchanfragen um || Werbeeinnahmen
|}

== Wie versteckt sie sich? ==
;Rootkit
*Versteckt Prozesse, Dateien und Netzverbindungen vor dem Betriebssystem und damit vor dem Virenschutz.
;Bootkit
*Nistet sich vor dem Betriebssystem ein. Früher im MBR (siehe [[Bootsektorviren]]), heute in der UEFI-Startkette.
*Gegenmittel: '''Secure Boot''' und aktuelle Firmware. Selbst Secure Boot wurde schon umgangen (BlackLotus, 2023), deshalb zählen auch hier Updates.
;Polymorph und metamorph
*Virenscanner suchen nach Signaturen, also typischen Bytefolgen.
*Polymorphe Malware verschlüsselt sich bei jeder Kopie neu, metamorphe Malware schreibt sogar ihren eigenen Code um. Die Signatur ändert sich jedes Mal.
;Packer und Crypter
*Die Schadsoftware wird gepackt oder verschlüsselt und erst im Speicher entpackt. Auf der Platte liegt nur unauffälliger Code.
;Dateilos (''fileless'') und Living off the Land
*Es landet keine Schadsoftware als Datei auf der Platte. Stattdessen werden vorhandene Bordmittel missbraucht: PowerShell, mshta, rundll32, certutil, WMI.
*Diese Programme heißen ''LOLBins'' (Living off the Land Binaries). Sie sind signiert und legitim, ein Virenscanner schlägt deshalb nicht an.

[[Kategorie:Cybersecurity]]

Malware Einordnung - Versionsgeschichte

Thomas.will: Zusammengelegt: Weiterleitung auf Schadsoftware/Malware

Thomas.will: Neue Malware-Seiten: aktuelle Einordnung, Infektionswege, Ablauf, Erkennung, Schutz