![](\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\")
Sicherheitsforscher des Zscaler ThreatLabZ-Teams haben den Krypter analysiert, mit dem unter anderem die Banking-Trojaner Emotet, Qbot und Dridex verschleiert wurden. <\/p>\nSicherheitsforscher des Zscaler ThreatLabZ-Teams haben den Krypter analysiert, mit dem unter anderem die Banking-Trojaner Emotet, Qbot und Dridex verschleiert wurden. <\/p>\n
<\/p>\n
Einer der Gr\u00fcnde, warum die Trojaner Emotet und Dridex so lange erfolgreich \u00fcberleben konnten, ist der Schutz vor Entdeckung durch einen sehr wandelbaren und polymorphen Krypter. Ein solcher Krypter wird von Hackern eingesetzt, um die Malware f\u00fcr Sicherheitsprogramme schwieriger erkennbar zu machen. Im Fall des analysierten Krypters konnten die Forscher nun f\u00fcnf Schichten analysieren, die zur Verschleierung der Bin\u00e4rdatei eingesetzt wurden.<\/p>\n
Rainer Rehm, CISO Zentraleuropa bei Zscaler erkl\u00e4rt: \u201eAnfangs war die Schadsoftware noch relativ leicht zu erkennen, denn die Programme wurde immer als Ganzes in andere anf\u00e4llige Dateitypen eingebunden, wie Macros in Office-Dokumenten. Der Schadcode lie\u00df sich anhand bestimmter Patterns aufsp\u00fcren. Mittlerweile sind die sogenannten Payloader keine kompletten Programme mehr, sondern knifflig zusammengesetzte Programm-Algorithmen, die in mehreren Phasen vor den Suchprogrammen versteckt werden.\" <\/p>\n
Um hier auf dem Laufenden zu bleiben, ist ein umfangreiches Team an Sicherheitsforschern notwendig. Unternehmen werden nach dem Aufsp\u00fcren neuer Malware aber nur effektiv gesch\u00fctzt, wenn neueste Erkenntnisse schnell an alle Kunden verteilt werden k\u00f6nnen. Aber die manuelle Interaktion rund um ein Sicherheits-Update \u00f6ffnet gef\u00e4hrliche Zeitfenster ohne ausreichenden Schutz. Plattforml\u00f6sungen rollen nach dem Erkennen einer neuen Malware-Variante ein Sicherheits-Update aus, das automatisch f\u00fcr alle Anwender bereitsteht. <\/p>\n
Trotz vielfacher Versuche in den letzten Jahren, um die genannten Banking-Trojaner unsch\u00e4dlich zu machen, treiben immer wieder neue Varianten ihr Unwesen. Emotet ist bereits seit vier Jahren aktiv und war 2018 eine der am weitesten verbreiteten Varianten, die als Downloader oder Dropper von Banking-Trojanern eingesetzt wurde. <\/p>\n
Bei Dridex handelt es sich um einen Trojaner, der aus der Zeus-Familie weiterentwickelt wurde und trotz des Aushebelungsversuchs durch das FBI von 2015 weiterhin Schaden anrichtete. Qbot verschafft sich Remote-Zugriff auf die befallenen Systeme und zieht auf diesem Weg Informationen der Opfer ab. Zur Verbreitung dieser Variante wurden URLs mit der Payload \u00fcber Emotet ausgeliefert, die auf den analysierten Krypter setzen. <\/p>\n
Zscaler hat die verschiedenen Stufen der Verschleierung im Krypter der Malware nun aufgedeckt. <\/p>\n
(Quelle: ZScaler) <\/p>\n
Die aufeinanderfolgenden Stufen zur Verschleierung der Bin\u00e4rdatei von Emotet<\/p>\n
Dies war m\u00f6glich, indem das Unternehmen sich der Analyse von der letzten Stufe \u2013 der ausf\u00fchrbaren Bin\u00e4rdatei von Emotet – aus n\u00e4herte und sich bis zum Kern vorarbeitete: <\/p>\n
0. Bin\u00e4rdatei des Kerns.
1. Auf dieser Stufe wird der Code durch das Mischen und den Austausch von Anweisungen verschleiert.
2. Der verschleierte Bin\u00e4rcode wird verschl\u00fcsselt und an das Ende des spezifischen Bin\u00e4rladers angeh\u00e4ngt.
3. Die Dateistruktur des spezifischen Bin\u00e4rladers wird verwirbelt.
4. In dieser Stufe wird der Bin\u00e4rlader verschl\u00fcsselt.
5. Schlie\u00dflich wird die finale Bin\u00e4rdatei aus eingekapselten und zerstreuten Einzelteilen der spezifischen Bin\u00e4rdatei gebildet. <\/p>\n