Malware-forensik er den metodiske undersøgelse af malware og de digitale spor, der efterlades af en potentiel infektion på en computer, server eller andet IT-system. Målet er ikke blot at afgøre, om en mistænkelig fil er til stede. Malware-forensik forsøger at rekonstruere, hvad der blev udført, hvornår det skete, hvilke ændringer der blev foretaget i systemet, hvilke data der kunne være blevet påvirket, og om der var nogen forbindelser til eksterne systemer.

Den afgørende forskel mellem en retsmedicinsk undersøgelse og en standard virusscanning ligger i målet. En virusscanner har til formål at opdage og neutralisere malware. En retsmedicinsk undersøgelse har derimod til formål at bevare, analysere og transparent dokumentere de tekniske fakta. Dette kan involvere samtidig evaluering af filer, processer, systemartefakter, brugeraktivitet, hukommelsesindhold, netværksspor og logdata.

Malware-forensik er derfor et specialiseret underfelt inden for digital forensik. Det overlapper hinanden med computerforensik , hændelsesrespons, lagringsforensik, netværksanalyse og til en vis grad reverse engineering af malware. De specifikke metoder, der kræves, afhænger af den specifikke sikkerhedshændelse.

Hvad betyder malware?

Malware er en samlet betegnelse for software, der udfører skadelige, uønskede eller misbrugende funktioner.

Dette kan for eksempel omfatte trojanske heste, ransomware, spyware, informationstyve, keyloggere, trojanske heste med fjernadgang, downloadere, bagdøre eller virus.

Navnet alene siger dog ikke meget om, hvad et specifikt stykke malware rent faktisk gjorde på et system.

Hvad undersøger malware-forensik præcist?

Malware-forensik undersøger to sammenkoblede niveauer.

Det første niveau omhandler selve den mistænkelige fil eller software. Her kan det undersøges, hvilken type fil det er, hvad dens tekniske egenskaber er, hvilke funktioner der er genkendelige, og om der er kendte malware-karakteristika til stede.

Det andet niveau vedrører det kompromitterede system. Dette involverer identifikation af spor efter udførelse, installation eller kommunikation.

Dette andet niveau er ofte afgørende for at rekonstruere en reel sikkerhedshændelse.

Hvad er forskellen mellem malwareanalyse og malwareforensik?

Malwareanalyse fokuserer ofte mere på selve malwaren.

Dette muliggør undersøgelse af strukturen, funktionerne, kommunikationsmekanismerne og opførslen af ​​en mistænkelig fil.

Malware-forensik undersøger også forbindelsen til et specifikt berørt system: Hvornår dukkede filen op? Blev den udført? Hvilke persistensmekanismer blev oprettet? Hvilke brugerkonti blev berørt? Hvilke netværksforbindelser blev etableret? Hvilke andre systemer kan være involveret?

Malware-analyse kan derfor være en del af en retsmedicinsk undersøgelse af malware, men den er ikke identisk med den.

Hvad er forskellen mellem malware-forensics og en virusscanning?

En virusscanner besvarer primært spørgsmålet om, hvorvidt filer eller aktiviteter matcher kendte eller mistænkelige malwaremønstre.

Malware-forensik rejser yderligere spørgsmål.

En undersøgelse kan for eksempel afklare, om en fil, der er identificeret som skadelig, rent faktisk blev udført, hvornår udførelsen kan have fundet sted, hvilke efterfølgende aktiviteter der fandt sted, og om yderligere spor tilhører den samme hændelse.

Et positivt resultat af en virusscanner er derfor ikke automatisk en fuldstændig rekonstruktion af et angreb.

Kan en computer hackes, selvom virusscanneren ikke finder noget?

Ja.

En negativ virusscanning udelukker ikke endegyldigt en sikkerhedshændelse.

Angribere kan for eksempel bruge legitime systemprogrammer, benytte stjålne adgangsdata eller benytte teknikker, der ikke er baseret på en klassisk malware-fil.

Selv malware, der allerede er blevet fjernet, kan efterlade spor, selvom den originale fil ikke længere er til stede.

Kan en virusscanner generere falsk alarm?

Ja.

Sikkerhedssoftware kan klassificere legitime filer eller programmer som mistænkelige. Sådanne hits kaldes ofte falske positiver.

Derfor bør et enkelt detektionshit ikke automatisk fortolkes som et fuldstændigt bevis på en vellykket kompromittering uden yderligere undersøgelse.

Hvornår er malware-forensik nyttig?

En retsmedicinsk undersøgelse af malware kan være nyttig, hvis der er konkrete beviser for malware eller uautoriseret systemadgang.

Typiske årsager omfatter mistænkelige filer, uforklarlig fjernadgang, phishing-hændelser, usædvanlige brugerlogins, ransomware, mistænkte informationstyvere, mistænkelige netværksforbindelser eller sikkerhedsadvarsler på en computer.

Selv med en privat computer kan en undersøgelse være nyttig, hvis følsomme personoplysninger, e-mailkonti, netbank eller andre adgangsdata kan blive påvirket.

Hvad skal man ikke gøre for hurtigt, hvis der er mistanke om malware?

Hvis senere rekonstruktion er vigtig, bør mistænkelige filer ikke slettes med det samme, og computeren bør ikke geninstalleres for tidligt.

Ukontrolleret kørsel af forskellige rengøringsprogrammer kan også ændre eksisterende spor.

Under et igangværende angreb kan hurtig isolation være nødvendig. Derfor skal sikring af bevismateriale og begrænsning af skader nøje afvejes.

Hvorfor kan en kørende computer være særligt vigtig for kriminaltekniske formål?

Et system, der er tændt, indeholder flygtige oplysninger, der kan gå tabt, når det slukkes.

Dette kan omfatte kørende processer, aktive netværksforbindelser, indlæste moduler og andre hukommelsesoplysninger.

I tilfælde af mistanke om malware kan det derfor være nødvendigt at sikkerhedskopiere flygtige data, før et system lukkes ned på en kontrolleret måde eller på anden måde sikres.

Hvorfor skulle en inficeret computer ikke bare geninstalleres?

En ny installation kan rydde op i systemet til videre brug, men kan også ødelægge en betydelig del af de oprindelige spor.

Hvis det er nødvendigt at afklare, hvordan malwaren er kommet ind i systemet, hvilke aktiviteter der fandt sted, eller hvilke data der blev påvirket, bør en eventuel retsmedicinsk backup overvejes på forhånd.

Hvad er retsmedicinsk bevisindsamling i tilfælde af mistanke om malware?

Afhængigt af den oprindelige situation kan en relevant databærer eller et relevant datasæt sikkerhedskopieres på en kontrolleret måde, så den efterfølgende analyse ikke udelukkende udføres på det oprindelige system.

Et retsmedicinsk billede kan danne et defineret grundlag for efterforskning.

I et kørende system kan flygtige oplysninger også være relevante. Den passende backupstrategi afhænger derfor af computerens specifikke tilstand.

Hvorfor er den første tredjedel af eksamen så vigtig?

Selv de første skridt, der tages, kan afgøre, hvilke data der stadig vil være tilgængelige senere.

Når en kørende computer slukkes, går hukommelsesinformation tabt. Hvis den derimod fortsætter med at køre ukontrolleret, kan malware udføre yderligere aktiviteter.

Derfor bør fremgangsmåden ikke følge et enkelt stift skema.

Hvor tilbyder LB Forensics malware-relaterede undersøgelser?

Undersøgelsen af ​​kompromitterede computere og andre digitale systemer udføres landsdækkende. Regionalt tilbydes IT-forensiktjenester i blandt andet Augsburg , Hannover og Dresden . Uanset placering afhænger den tekniske tilgang af systemets tilstand, datakilden og det specifikke undersøgelsesspørgsmål.

Hvad er ydeevnesiden af ​​malware-forensik?

Denne artikel forklarer det tekniske udtryk og de underliggende principper. Oplysninger om specifikke undersøgelser og idriftsættelse kan findes i serviceområdet Malware Forensics.

Hvilke datakilder kan undersøges i malware-forensik?

Afhængigt af hændelsen kan adskillige datakilder være relevante.

Dette omfatter især filsystemer, systemlogfiler, brugerprofiler, installerede programmer, autostartområder, planlagte opgaver, tjenester, browserdata, downloads, e-mailvedhæftninger og netværksspor.

I kørende systemer kan hovedhukommelsen også repræsentere en vigtig datakilde.

Hvilken rolle spiller Windows-hændelseslogfiler?

Windows-hændelseslogfiler kan indeholde oplysninger om logins, tjenester, processer, sikkerhedshændelser og andre systemhandlinger.

Hvilke hændelser der rent faktisk er tilgængelige, afhænger af Windows-versionen, logføring, konfiguration og opbevaringsperiode.

Derfor beviser en manglende logpost ikke automatisk, at en bestemt proces ikke har fundet sted.

Hvilken rolle spiller Windows-registreringsdatabasen?

Windows-registreringsdatabasen indeholder adskillige konfigurations- og systemoplysninger.

Afhængigt af typen af ​​malware kan der være tegn på autostartmekanismer, installeret software, brugeraktiviteter eller andre relevante ændringer.

En enkelt registreringsdatabasepost bør dog altid evalueres i forbindelse med andre artefakter.

Hvad er persistensmekanismer?

Persistens refererer til teknikker, der bruges af malware eller en angriber til at forsøge at bevare adgang til et system, selv efter en genstart.

Mulige mekanismer omfatter autostartposter, tjenester, planlagte opgaver eller andre operativsystemfunktioner.

Hvilke mekanismer der er relevante afhænger af det specifikke angreb.

Hvad betyder "autostart" i forbindelse med malware?

Malware kan forsøge at køre automatisk ved systemstart eller brugerlogin.

Forskellige legitime operativsystemmekanismer kan misbruges til dette formål.

En automatisk start alene beviser dog ikke malware, fordi adskillige legitime programmer bruger de samme mekanismer.

Hvad er planlagte opgaver?

Planlagte opgaver tillader operativsystemer og applikationer at køre programmer på bestemte tidspunkter eller som reaktion på bestemte hændelser.

De bruges regelmæssigt af Windows og adskillige applikationer.

Angribere kan dog misbruge den samme funktion til persistens eller automatiseret udførelse.

Hvilken rolle spiller Windows-tjenester?

Tjenester kører ofte i baggrunden og kan blive aktive, så snart systemet starter.

Malware kan forsøge at oprette sine egne tjenester eller misbruge eksisterende mekanismer.

Også her skal der skelnes mellem normale systemtjenester og reelt mistænkelige ændringer.

Hvad er statisk malwareanalyse?

Statisk analyse involverer undersøgelse af en mistænkelig fil uden bevidst at køre den.

Eksempler på data, der kan analyseres, omfatter filformat, kryptografiske hashværdier, indlejrede strenge, importerede funktioner, filstrukturer eller andre tekniske egenskaber.

Statisk analyse kan give indledende spor, men afslører ikke nødvendigvis hele en fils opførsel.

Hvad er dynamisk malwareanalyse?

Dynamisk analyse involverer observation af en mistænkelig fils opførsel i et kontrolleret miljø.

Dette muliggør undersøgelse af f.eks. hvilke filer der oprettes eller ændres, hvilke processer der startes, og hvilke netværksforbindelser der etableres.

En sådan analyse bør ikke udføres på et system i produktionsbrug.

Hvad er en sandkasse?

En sandkasse er et kontrolleret analysemiljø, hvor mistænkelig software kan køres uden at starte den direkte på et produktionssystem.

Det kan være med til at synliggøre bestemte adfærdsmønstre.

En sandkasse er dog ikke en perfekt kopi af alle virkelige målsystemer. Nogle typer malware ændrer sin adfærd, når den registrerer et analysemiljø.

Hvad er reverse engineering af malware?

Reverse engineering undersøger softwares struktur og funktionalitet på et dybere teknisk niveau.

Dette muliggør analyse af for eksempel maskinkode, programflows, krypteringsrutiner eller kommunikationsmekanismer.

En fuld reverse engineering-analyse er ikke påkrævet for alle malware-hændelser.

Hvad er indikatorer for kompromis?

Indikatorer for kompromis, eller IOC'er forkortet, er tekniske karakteristika, der kan indikere et muligt kompromis.

Dette omfatter for eksempel specifikke filhashes, domæner, IP-adresser, filnavne eller andre tekniske artefakter.

En IOC er dog ikke automatisk et bevis. Kontekst og timing skal tages i betragtning.

Hvad er en malware-hash?

En kryptografisk hashværdi kan matematisk karakterisere en specifik fil.

Hvis hashværdien af ​​et kendt stykke malware er kendt, og der findes en bit-identisk fil, kan dette give stærkt bevis for filens identitet.

Men selv små ændringer i filen producerer normalt en anden kryptografisk hashværdi.

Hvorfor er hash-genkendelse alene ikke tilstrækkeligt?

Malware kan modificeres, rekompileres eller ompakkes. Dette kan ændre hashværdien, selvom funktionen og oprindelsen forbliver tæt forbundet.

Derudover har helt nye malware-varianter muligvis endnu ikke en kendt reference-hash.

Derfor kombinerer professionelle undersøgelser ofte flere detektions- og analysetilgange.

Hvad er YARA-reglerne?

YARA-regler kan bruges til at undersøge filer eller hukommelsesindhold baseret på definerede mønstre.

Reglerne kan for eksempel kombinere karakteristiske strenge, bytesekvenser eller andre funktioner.

Et YARA-hit skal evalueres professionelt. Dets betydning afhænger af kvaliteten og specificiteten af ​​den anvendte regel.

Hvad betyder heuristisk genkendelse?

Heuristiske metoder forsøger at identificere mistænkelige karakteristika eller adfærdsmønstre uden nødvendigvis at kræve tilstedeværelsen af ​​en præcist kendt malwarevariant.

Dette kan også afsløre tidligere ukendte eller ændrede trusler.

Heuristiske hits kan dog også generere falske alarmer.

Hvad er adfærdsanalyse?

Adfærdsanalyse undersøger, hvilke handlinger en fil eller proces rent faktisk udfører.

Dette kan for eksempel omfatte oprettelse af nye processer, ændringer i systemområder, netværkskommunikation eller persistensmekanismer.

Disse oplysninger kan være særligt værdifulde, når filsignaturer alene ikke giver mulighed for en klar erklæring.

Hvad betyder filomdømme?

Omdømmetjenester sammenligner filer, hashværdier, domæner eller andre karakteristika med kendte databaser.

Dette gør det muligt at afgøre, om et objekt allerede er blevet klassificeret som kendt, udbredt eller mistænkeligt.

Omdømme er dog en yderligere informationskilde og ikke en erstatning for den retsmedicinske undersøgelse af det specifikke system.

Kan malware være fuldstændig ukendt?

Ja.

En malwarevariant kan være ny, individuelt modificeret eller kun bruges mod et specifikt mål.

Derfor ville en undersøgelse, der kun kontrollerer kendte hashværdier eller signaturer, være metodisk for snæver.

Hvad betyder zero-day malware?

Udtrykket bruges ofte om malware eller angreb, der udnytter en tidligere ukendt eller uløst sikkerhedssårbarhed.

Det er dog ikke al ukendt malware, der automatisk udnytter en zero-day-sårbarhed.

Begreberne bør derfor ikke sidestilles.

Hvad er en trojansk hest?

En trojansk hest er malware, der ofte forklæder sig som en legitim fil eller applikation, eller som udføres via tilsyneladende legitimt indhold.

Afhængigt af varianten kan yderligere skadelige funktioner følge udførelsen.

Hvad er en fjernadgangs-trojaner?

En fjernadgangstrojan, eller RAT, kan give en angriber funktioner til at fjernstyre et kompromitteret system.

De tilgængelige muligheder afhænger af den specifikke malware.

En RAT kan for eksempel muliggøre filadgang, processtyring eller andre fjernadgangsfunktioner.

Hvad er en informationstyver?

Infotyveri er ondsindede programmer designet til at indsamle specifikke oplysninger.

Dette kan f.eks. omfatte browserdata, lagrede adgangsoplysninger, cookies, tegnebogsdata eller andre lokalt tilgængelige oplysninger.

Det faktiske omfang afhænger af den specifikke malware og det berørte system.

Hvorfor er stjålne browsercookies farlige?

Visse sessionscookies kan repræsentere en allerede godkendt tilstand.

Hvis sådanne oplysninger misbruges med succes, er det ikke altid nødvendigt blot at ændre adgangskoden, afhængigt af tjenesten.

Aktive sessioner og sikkerhedsoplysninger for den respektive konto bør derfor også kontrolleres.

Hvad er spionprogram?

Spyware er software, der kan være designet til at indsamle oplysninger om et system eller dets brugere.

De data, der rent faktisk kan indsamles, afhænger af malware, tilladelser og systemadgang.

Hvad er en keylogger?

En keylogger registrerer tastetryk.

Software-keyloggere kan blandt andet bruges til at stjæle adgangskoder eller andre indtastede oplysninger.

Der findes også hardwarebaserede keyloggere, som kræver en anden undersøgelsesmetode.

Hvad er ransomware?

Ransomware låser eller krypterer typisk data eller systemer og er ofte forbundet med et krav om løsesum.

I moderne ransomware-hændelser er synlig kryptering muligvis kun den sidste fase af et længerevarende angreb.

Derfor kan retsmedicinske undersøgelser af malware begynde længe før den faktiske krypteringstidspunkt.

Kunne ransomware have stjålet data på forhånd?

Ja, visse angreb kombinerer dataudvinding og kryptering.

Det faktum, at filer er blevet krypteret, beviser dog ikke automatisk, at data tidligere er blevet lækket.

Et potentielt databrud skal undersøges ved hjælp af ens egne digitale spor.

Hvad er en downloader?

En downloader er malware, hvis primære funktion kan være at downloade yderligere filer eller malware fra internettet.

Den oprindeligt fundne fil er derfor muligvis ikke den eneste relevante komponent i en hændelse.

Hvad er en bagdør?

En bagdør er et skjult eller utilsigtet adgangspunkt til et system.

Angribere kan forsøge at etablere en sådan mulighed efter en første vellykket adgang for at kunne få adgang til systemet igen senere.

Hvad er en visker?

Wiper-malware er designet til specifikt at ødelægge eller gøre data eller systemer ubrugelige.

Fokus er derfor ikke på økonomisk afpresning, men på sabotage eller dataødelæggelse.

Kan malware forekomme på en Mac?

Ja.

macOS har sine egne sikkerhedsmekanismer, men er ikke fundamentalt immun over for malware eller kompromitterede brugerkonti.

Undersøgelsen adskiller sig fra en Windows-undersøgelse på grund af operativsystemet, filsystemet, sikkerhedsarkitekturen og tilgængelige artefakter.

Kan man finde malware på en smartphone?

Ja, mobil malware findes også.

Smartphones har dog andre operativsystemer, apps og sikkerhedsmodeller end traditionelle computere. Derfor undersøges mobil malware typisk inden for rammerne af specialiseret mobil- eller smartphone-forensik.

Kan der findes malware på en server?

Ja.

Servere kan blive påvirket af malware, kompromitterede tjenester, stjålne adgangsdata eller andre angrebsteknikker.

I tilfælde af serverhændelser kan central log, godkendelse og netværksdata også være særligt vigtige.

Hvilken rolle spiller RAM i malware?

RAM kan indeholde kørende processer, indlæste moduler, netværkstilstande og andre flygtige oplysninger.

Visse typer malware kan være meget lettere at opdage i hukommelsen end på datalagringsmediet.

Når computeren er slukket, går disse flygtige data altid tabt.

Hvad er hukommelsesforensik?

Hukommelsesforensik er den retsmedicinske analyse af et systems hovedhukommelse.

Dette muliggør blandt andet undersøgelse af processer, indlæste moduler, forbindelser og andre ustabile strukturer.

Hukommelsesretsmedicin er særligt relevant, når der er mistanke om et igangværende angreb eller hukommelsesresident adfærd.

Kan malware kun køre i RAM?

Visse angrebsteknikker forsøger at efterlade så få traditionelle filer som muligt på databæreren.

Dette opsummeres ofte under termer som filløst eller hukommelsesresident angreb.

Disse udtryk betyder dog ikke nødvendigvis, at der ikke oprettes andre systemspor.

Hvad betyder filløs malware?

Filløs refererer til angrebsteknikker, hvor traditionelle, permanent lagrede malwarefiler kan spille en mindre væsentlig rolle.

I stedet kan for eksempel legitime operativsystemfunktioner og RAM bruges.

Udtrykket skal derfor ikke forstås som "uden spor".

Hvad betyder "at leve af jorden"?

"Livet-off-the-Land"-teknikker involverer misbrug af legitime, eksisterende systemværktøjer.

Dette gør det muligt for et angreb at finde sted uden behov for klassiske, ukendte malwarefiler i hvert trin.

Retsmedicinsk analyse skal derfor også tage hensyn til bruger-, proces- og systemaktiviteter.

Hvilken rolle spiller PowerShell?

PowerShell er et legitimt administrationsværktøj i Windows.

Det kan bruges til normal administration såvel som til misbrug af angribere.

Den blotte eksistens eller brug af PowerShell er derfor ikke bevis for et angreb. Det, der betyder noget, er specifikke kommandoer, kontekst og andre spor.

Kan malware deaktivere sikkerhedssoftware?

Visse malware eller angribere kan forsøge at ændre eller deaktivere sikkerhedsmekanismer.

En uventet deaktiveret sikkerhedsfunktion kan derfor være relevant, men den har også andre mulige årsager og skal undersøges i kontekst.

Kan malware slette logfiler?

Angribere kan forsøge at slette logfiler eller forstyrre deres samling.

Det er dog ikke garanteret, at alle spor fjernes fuldstændigt, da relevante oplysninger kan være til stede på flere systemer.

Lokale logfiler, centrale serverlogfiler, firewalls, cloudtjenester og andre systemer kan supplere hinanden.

Kan malware slette filer?

Ja, afhængigt af dens funktion og tilladelser kan malware ændre eller slette filer.

Om slettede filer kan gendannes senere, afhænger af lagringsmediet, filsystemet og den efterfølgende brug.

Kan malware kryptere filer?

Ja. Dette er særligt karakteristisk for ransomware.

Kryptering med malware skal dog skelnes fra almindelig diskkryptering eller legitime krypterede filer.

Kan malware stjæle adgangskoder?

Visse malwareprogrammer er specifikt designet til at stjæle loginoplysninger.

Dette kan for eksempel omfatte indtastede adgangskoder, gemte browseroplysninger eller andre godkendelsesdata.

Hvilke data der var teknisk tilgængelige, skal undersøges i forbindelse med den specifikke hændelse.

Kan malware stjæle netbankdata?

Visse typer malware kan forsøge at stjæle loginoplysninger eller andre data, der er relevante for finansielle tjenester.

Hvis der sker ukendte banktransaktioner efter en sikkerhedshændelse, har øjeblikkelig kontakt med banken eller betalingstjenesteudbyderen forrang frem for en ren retsmedicinsk undersøgelse.

Kan malware læse mine e-mails?

Hvis malware har tilstrækkelig adgang til et system eller tilsvarende loginoplysninger, kan e-maildata blive påvirket.

Alternativt kan det være, at kun e-mailkontoen er blevet kompromitteret, uden at der er malware til stede på computeren.

Kan malware bruge mit webcam eller min mikrofon?

Afhængigt af malware, operativsystem og tilladelser er sådanne funktioner i princippet teknisk mulige.

Men den blotte kendsgerning, at det er teknisk muligt, beviser ikke, at det rent faktisk blev brugt i et specifikt system.

Kan malware overføre mine filer til internettet?

Visse typer malware kan stjæle data.

Om dette rent faktisk skete, skal undersøges ved hjælp af filaktivitet, netværksdata og andre systemspor.

Den blotte opdagelse af malware beviser ikke et konkret databrud.

Hvordan kan man afgøre, hvornår malware er kommet ind på en computer?

Dette muliggør sammenligning af flere tidsoplysninger.

Eksempler på relevante oplysninger omfatter downloadspor, e-mails, tidsstempler for filer, programkørsel, logfiler og netværksaktivitet.

Et enkelt filtidsstempel bør ikke automatisk fortolkes som infektionstidspunktet.

Hvordan kan man se, om der er blevet udført malware?

Eksistensen af ​​en fil på et datamedie beviser ikke udførelse.

Afhængigt af operativsystemet kan forskellige udførelsesartefakter, procesoplysninger, systemlogfiler eller andre data give spor om, hvorvidt en fil rent faktisk er blevet startet.

Hvorfor er denne forskel så vigtig?

En skadelig fil i downloadmappen kan have en helt anden betydning end den samme fil, der påviseligt blev udført og efterfølgende forårsagede systemændringer.

Retsvidenskab skal derfor skelne mellem tilstedeværelse, udførelse og faktisk virkning.

Kan kilden til malwaren bestemmes?

Delvist.

Browserdownloads, e-mailvedhæftninger, filstier, brugeraktivitet og andre artefakter kan give spor til oprindelsen.

En fuldstændig rekonstruktion af den oprindelige indgangsrute er dog ikke altid mulig.

Kan malware leveres via en phishing-e-mail?

Ja.

Phishing-e-mails kan for eksempel indeholde skadelige vedhæftede filer eller links.

Det er dog ikke alle phishing-angreb, der er rettet mod malware. Mange angreb har udelukkende til formål at få loginoplysninger til falske websteder.

Kan malware overføres via en USB-stick?

Malware kan generelt spredes via eksterne lagringsmedier.

Om en specifik USB-lagerenhed rent faktisk var årsagen til en hændelse, skal verificeres ved hjælp af oplysninger om enhed, fil og tidspunkt.

Kan malware introduceres gennem en softwareinstallation?

Ja. Manipulerede installationspakker, uønsket yderligere software eller kompromitterede downloads kan være mulige distributionskanaler.

Også her er den afgørende faktor, hvilken fil der rent faktisk blev downloadet og udført.

Hvad betyder initial adgang?

Initial Access refererer til den første vellykkede adgang fra en angriber til et system eller netværk.

Malware kan spille en rolle, men det er ikke nødvendigvis det oprindelige indgangspunkt.

Stjålne loginoplysninger eller udnyttede sikkerhedssårbarheder kan også muliggøre første adgang.

Hvad betyder Lateral bevægelse?

Lateral bevægelse refererer til en angribers bevægelse fra et allerede kompromitteret system til andre enheder eller konti i et miljø.

Derfor er det i virksomhedshændelser muligvis ikke tilstrækkeligt at undersøge en enkelt inficeret computer.

Hvad betyder Kommando og Kontrol?

Kommando-og-kontrol-kommunikation beskriver forbindelser, hvorigennem kompromitterede systemer kan modtage kommandoer eller overføre information.

Sådanne forbindelser kan etableres via forskellige protokoller og infrastrukturer.

Netværks- og DNS-data kan være vigtige informationskilder til undersøgelse.

Hvilken rolle spiller netværksspor?

Netværksdata kan give spor om, hvilke eksterne systemer en kompromitteret computer har kommunikeret med.

Dette kan omfatte firewall-, DNS-, proxy- eller endpoint-data.

En enkelt forbindelse til en ukendt IP-adresse er dog ikke tilstrækkeligt bevis på malware.

Kan en IP-adresse identificere angriberen?

Nej, i hvert fald ikke automatisk.

En IP-adresse dokumenterer i første omgang en teknisk forbindelse.

VPN-tjenester, proxyservere, kompromitterede tredjepartssystemer, hostinginfrastruktur eller delte netværk kan i betydelig grad komplicere tilskrivningen til en fysisk person.

Kan malware skjule et angreb?

Visse typer malware forsøger at gøre processer, filer eller andre aktiviteter mindre synlige.

Retsmedicinsk analyse er derfor ikke udelukkende afhængig af operativsystemets normale brugergrænseflade.

Hvad betyder rootkit?

Rootkit-teknikker har blandt andet til formål at skjule uønskede aktiviteter eller komponenter eller at understøtte privilegeret adgang.

Den præcise tekniske implementering varierer betydeligt mellem operativsystemer og malwarefamilier.

Kan malware stadig opdages, efter den er slettet?

Ja, under visse betingelser.

Selv hvis den originale fil ikke længere findes, kan der stadig være udførelsesartefakter, logfiler, persistensposter, netværksdata eller andre tekniske spor.

En fuldstændig rekonstruktion er dog ikke garanteret.

Kan malware forsvinde efter en genstart?

Det afhænger af den specifikke malware.

Visse hukommelsesbaserede komponenter kan blive inaktive efter en genstart. Anden malware etablerer persistensmekanismer og genstarter.

Kan en fabriksnulstilling eller en geninstallation fjerne malware?

En komplet geninstallation kan fjerne mange lokale malware-komponenter.

Hun kan dog efterfølgende undlade at svare på, hvordan angrebet fandt sted, eller hvilke data der blev påvirket.

Derudover kan kompromitterede onlinekonti fortsætte uanset den nyinstallerede computer.

Kan malware inficere en backup?

En sikkerhedskopi kan indeholde skadelige filer, hvis disse allerede var en del af de sikkerhedskopierede data.

Dette betyder ikke automatisk, at malwaren er aktiv blot ved at gemme sikkerhedskopien.

Når du udfører en gendannelse, er det dog vigtigt at kontrollere, hvilke filer og systemtilstande der skal overføres.

Kan et retsmedicinsk billede indeholde malware?

Ja.

Et retsmedicinsk billede kan indeholde filer fra et kompromitteret system og dermed også malware.

Så længe malwaren blot gemmes som data og ikke udføres, er dette forskelligt fra et aktivt inficeret operativsystem.

Hvorfor undersøges malwarefiler i isolerede miljøer?

Mistænkelige filer bør ikke startes ukontrolleret på normale arbejdsstationer.

Isolerede analysemiljøer reducerer risikoen for, at malware påvirker andre systemer eller produktionsdata.

Kan malware-forensik rekonstruere hele angrebet?

Nogle gange kan en omfattende angrebskæde spores. I andre tilfælde forbliver der huller.

Udsagnet afhænger af, hvilke datakilder der er tilgængelige, hvor længe siden hændelsen fandt sted, og hvilke spor der blev slettet eller overskrevet.

Hvad kan malware-forensik ikke bevise?

Opdagelsen af ​​malware beviser ikke automatisk, hvem der har installeret den.

Det beviser ikke automatisk, at alle teoretisk tilgængelige data faktisk er blevet læst eller transmitteret.

Og et negativt malware-fund beviser ikke nødvendigvis, at en sikkerhedshændelse aldrig har fundet sted.

Hvorfor er tidsmæssig korrelation vigtig?

En enkelt malwarefil beskriver ikke en komplet hændelse.

Kun når download, udførelse, systemændringer, brugerlogin og netværkskommunikation sammenlignes over tid, kan der skabes en pålidelig rekonstruktion.

Hvad er en tidslinje for malware?

En malware-tidslinje forbinder relevante begivenheder i en kronologisk rækkefølge.

For eksempel kan den vise, hvornår en fil blev downloadet, hvornår den blev udført, hvornår en persistensmekanisme blev oprettet, og hvornår en ekstern forbindelse efterfølgende blev etableret.

En sådan tidslinje er ofte meget mere informativ end en isoleret liste over hits.

Hvorfor skal malware-efterforskning være åben?

Formålet med en retsmedicinsk undersøgelse er ikke at bekræfte en mistanke for enhver pris.

En mistænkelig fil kan vise sig at være falsk alarm. En usædvanlig netværksforbindelse kan forklare en legitim applikation. Omvendt kan et tilsyneladende harmløst system indeholde stærke beviser for et tidligere angreb.

Vurderingen skal derfor baseres på de data, der faktisk er tilgængelige.

Malware-forensik for privatpersoner

Malware-forensik er ikke udelukkende et emne for store virksomheder.

Privatpersoner kan f.eks. blive berørt efter en phishing-hændelse, ukendt fjernadgang, stjålne logindata, mistænkelige programmer eller usædvanlig kontoaktivitet.

Selv efter sager om økonomisk svindel kan spørgsmålet opstå, om en computer er blevet kompromitteret, og hvilke digitale spor der stadig er til stede.

Min computer opfører sig mærkeligt – har jeg malware?

Ikke nødvendigvis.

Langsom ydeevne, nedbrud, højt CPU-forbrug eller usædvanlig blæseraktivitet kan have adskillige tekniske årsager.

Sådanne symptomer alene er ikke tilstrækkelige til en malwarediagnose.

Jeg har åbnet en ukendt fil – hvad betyder det?

Filtypen, oprindelsen og opførslen efter udførelse er afgørende.

Blot det faktum, at en fil var ukendt, betyder ikke automatisk, at den er skadelig.

I tilfælde af konkret mistanke bør filen ikke åbnes gentagne gange eller slettes øjeblikkeligt uden en bevisstrategi.

Jeg åbnede en vedhæftet fil i en e-mail – er min pc nu inficeret?

Ikke automatisk.

Det er nødvendigt at kontrollere, hvilken type fil det var, hvilken software der åbnede filen, og om der efterfølgende opstod mistænkelig aktivitet.

En retsmedicinsk undersøgelse kan sammenligne eksisterende download-, fil-, udførelses- og systemspor.

Min virusscanner rapporterede en trojansk hest – hvad skal jeg konkludere ud fra dette?

Angrebet skal først dokumenteres.

Relevante oplysninger omfatter detektionsnavn, filsti, tidspunkt og den handling, sikkerhedsprogrammet har foretaget.

Dernæst skal det kontrolleres, om filen blot var til stede eller faktisk blev udført, og om der findes andre artefakter.

Min virusscanner slettede filen – er det slutningen på det?

Ikke nødvendigvis.

Hvis filen allerede er blevet udført, kan der være forekommet yderligere komponenter, kontoadgange eller systemændringer.

Om yderligere undersøgelse er nødvendig, afhænger af den specifikke hændelse og den involverede risiko.

Min virusscanner finder ingenting – kan der stadig være sket noget?

Ja.

Hændelsen kunne for eksempel allerede være overstået, være opstået via brugerkonti eller have brugt teknikker, som en klassisk scanning ikke registrerer.

Hvilken rolle spiller computerforensik?

Malware-forensik bygger ofte på metoder fra computerforensik.

Den eksisterende artikel "Hvad er computerforensik?" forklarer, hvilke system-, fil-, bruger- og databærerspor der generelt kan undersøges på en computer.

I tilfælde af malware-hændelser evalueres disse data specifikt med hensyn til spørgsmålet om et muligt sikkerhedsangreb.

Hvilken rolle spiller et retsmedicinsk billede?

Med egnede datalagringsmedier kan kontrolleret backup danne grundlag for senere analyser.

Yderligere baggrundsinformation om forskellen mellem normal filkopiering og retsmedicinsk backup er forklaret i den eksisterende vidensartikel Hvad er et retsmedicinsk billede ?.

Hvilken rolle spiller hashværdier i malware-efterforskning?

Hashværdier kan have forskellige funktioner.

De kan for det første bruges til integritetstjek af sikkerhedskopierede data. For det andet kan filhash sammenlignes med kendt malwareinformation.

Disse to anvendelsesscenarier bør ikke forveksles.

Hvorfor er sporbarhedskæden vigtig?

I tilfælde hvor beviser er relevante, bør det tydeligt dokumenteres, hvilken enhed eller hvilket datasæt der blev beslaglagt, sikret og undersøgt.

Beviskæden supplerer tekniske integritetskontroller og muliggør en sporbar fordeling af efterforskningstrinnene.

Kan malware-forensik være tilladt i retten?

Ja.

Retsmedicinske fund kan f.eks. være relevante i tilfælde af bedrageri, cyberangreb, databeskyttelseshændelser, arbejdstvister eller straffesager.

Hvorvidt og i hvilken form et resultat er juridisk brugbart, er imidlertid et juridisk spørgsmål og ikke udelukkende en teknisk egenskab ved undersøgelsesrapporten.

Hvad skal inkluderes i en malware-forensisk rapport?

En forståelig rapport bør identificere forskningsspørgsmålet, de undersøgte datakilder, de anvendte metoder og de vigtigste tekniske resultater.

Lige så vigtige er begrænsninger og alternative forklaringer.

En rapport bør tydeligt skelne mellem en objektivt fastslået artefakt og en faglig vurdering, der er afledt af den.

Hvorfor skal malware-resultater kunne verificeres?

Automatiserede retsmedicinske og sikkerhedsprogrammer kan generere fejl eller misfortolkninger.

Særligt relevante fund bør derfor verificeres ved hjælp af passende rådata, yderligere artefakter eller, om nødvendigt, en yderligere analytisk procedure.

Hvad betyder validering på tværs af værktøjer?

Validering på tværs af værktøjer betyder at verificere et særligt vigtigt fund med et andet uafhængigt værktøj eller en anden metode.

Dette kan hjælpe med at identificere parserfejl, falske alarmer eller forskelle i fortolkningen.

Kan kunstig intelligens opdage malware?

AI-baserede metoder kan hjælpe med klassificering, mønstergenkendelse, prioritering og andre analytiske opgaver.

Et AI-resultat er dog ikke automatisk en retsmedicinsk konstatering af fakta.

Især med resultater, der er relevante for evidens, skal datakilden, metoden og specifikke tekniske artefakter forblive sporbare.

Kan AI erstatte en malware-ekspert?

Nej.

Automatiseret analyse kan strukturere store mængder data hurtigere. Den ekspertevaluering af en specifik hændelse kræver dog klassificering af forskellige datakilder, potentielle falske alarmer og tekniske begrænsninger.

Praktisk eksempel: Mistænkelig e-mailvedhæftning

En privatperson modtager, hvad der ligner en faktura, via e-mail og åbner den vedhæftede fil. To dage senere rapporterer e-mailkontoen et ukendt login.

En retsmedicinsk undersøgelse af malware bør ikke automatisk sidestille disse hændelser.

Den originale e-mail, den downloadede fil, mulige udførelsesartefakter, systemændringer og eksisterende kontooplysninger kan undersøges.

Kun når flere spor matcher hinanden med hensyn til timing og teknologi, kan en mere pålidelig rekonstruktion opnås.

Praktisk eksempel: Virusscanner rapporterer en informationstyveri

Et sikkerhedsprogram registrerer en informationstyveri og flytter en fil til karantæne.

For yderligere evaluering er det afgørende, om filen rent faktisk blev udført, og hvilke oplysninger der var tilgængelige på systemet.

Derudover kan vigtige brugerkonti kontrolleres for ukendte sessioner eller sikkerhedsrelevante ændringer.

Praktisk eksempel: Virksomhed opdager ransomware

Flere arbejdsstationer og servere krypteres inden for kort tid.

Den synlige ransomware er kun én del af hændelsen.

Afhængigt af de tilgængelige data kan undersøgelser være nødvendige at omfatte det oprindelige indgangspunkt, anvendte brugerkonti, bevægelser mellem systemer, malwarekomponenter og indikationer på en mulig datalækage.

Praktisk eksempel: Virusscanner finder ingenting

En computer viser ukendte forsøg på fjernadgang, selvom flere virusscannere ikke rapporterer nogen malware.

I dette tilfælde bør undersøgelsen ikke begrænses til at udføre yderligere scanninger.

Brugerkonti, fjernadgangssoftware, hændelseslogfiler, kørende processer og andre systemartefakter kan give et betydeligt bedre grundlag for undersøgelse.

Ofte stillede spørgsmål om malware-efterforskning

Hvad er malware-forensik forklaret på en enkel måde?

Malware-forensik undersøger skadelig software og dens digitale spor for teknisk at rekonstruere en mulig sikkerhedshændelse.

Hvad undersøger en malware-ekspert?

Afhængigt af sagen kan mistænkelige filer, processer, systemændringer, logfiler, persistensmekanismer, hukommelses- og netværksspor undersøges.

Er malware-efterforskning det samme som en virusscanning?

Nej. En virusscanning fokuserer på detektion og fjernelse. Malware-forensik undersøger desuden rækkefølgen af ​​begivenheder, virkningen og de digitale spor af en hændelse.

Er det muligt, at der kan være malware til stede, selvom virusscanneren ikke finder noget?

Ja. En negativ scanning kan ikke helt udelukke en sikkerhedshændelse.

Kan en virusscanner rapportere en falsk alarm?

Ja. Derfor bør hvert enkelt hit gennemgås professionelt.

Er det muligt at afgøre, om en malware-fil er blevet udført?

Under passende forhold kan udførelse, proces, log og andre systemartefakter give spor.

Er det muligt at fastslå, hvornår malware er kommet ind i computeren?

I nogle tilfælde kan tidsperioden indsnævres ved hjælp af flere tidsoplysninger.

Kan kilden til malwaren bestemmes?

Under visse betingelser kan spor fra browsere, e-mails, filer og andre systemer indsnævre den mulige oprindelse.

Kan malware ankomme via e-mail?

Ja. Ondsindede vedhæftede filer eller links kan være en del af et angreb.

Kan malware overføres via en USB-stick?

Ja. Om dette rent faktisk skete i en specifik sag, skal undersøges ud fra de tilgængelige beviser.

Kan malware stjæle adgangskoder?

Visse typer malware kan indsamle loginoplysninger eller andre godkendelsesdata.

Kan malware stjæle netbankdata?

Visse typer malware kan målrette loginoplysninger og andre følsomme data.

Kan malware stjæle billeder og dokumenter?

Hvis malwaren har tilstrækkelige adgangsrettigheder, kan filer generelt blive påvirket.

Kan malware tænde mit webcam?

Teknisk set kan dette være muligt med den rette systemadgang. Den blotte mulighed beviser dog ikke faktisk webcam-adgang.

Kan malware bruge min mikrofon?

Dette er generelt også muligt, hvis der gives tilstrækkelige rettigheder, men det skal teknisk bevises i hvert enkelt tilfælde.

Kan malware kryptere mine filer?

Ja. Ransomware er et velkendt eksempel på dette.

Kan malware forblive aktiv efter en genstart?

Ja, hvis der er etableret passende persistensmekanismer.

Kan malware stadig opdages, efter den er slettet?

Under visse betingelser kan resterende system- og udførelsesartefakter give spor.

Kan malware fungere fuldstændigt uden at efterlade spor?

Fuldstændig sporløshed kan ikke antages på alle områder. Selv hukommelsesbaserede eller fillette angreb kan generere andre tekniske artefakter.

Hvad er filløs malware?

Dette refererer til angrebsteknikker, hvor klassiske, permanent lagrede malwarefiler spiller en mindre væsentlig rolle.

Hvad er en informationstyver?

En infostealer er malware, der specifikt kan indsamle oplysninger såsom browser- eller logindata.

Hvad er en fjernadgangs-trojaner?

En RAT kan give en angriber fjernstyringsfunktioner til en kompromitteret computer.

Hvad er ransomware?

Ransomware krypterer eller låser typisk data og er ofte forbundet med et krav om løsesum.

Hvad er spionprogram?

Spyware kan indsamle oplysninger om et system eller dets brugere.

Hvad er IOC'er?

Indikatorer for kompromis er tekniske karakteristika, der kan indikere et muligt kompromis.

Hvad er YARA-reglerne?

YARA-regler søger efter definerede tekniske mønstre i filer eller andre datasæt.

Hvad er statisk malwareanalyse?

Dette indebærer at undersøge en mistænkelig fil uden bevidst at køre den.

Hvad er dynamisk malwareanalyse?

Dette indebærer at observere en mistænkelig fils opførsel i et kontrolleret miljø.

Hvad er en sandkasse?

En sandkasse er et isoleret analysemiljø til kontrolleret undersøgelse af mistænkelig software.

Hvad er hukommelsesforensik?

Hukommelsesforensik undersøger et systems hovedhukommelse for flygtige processer, moduler, forbindelser og andre relevante oplysninger.

Skal jeg lukke en mistænkelig computer ned med det samme?

Ikke nødvendigvis. At slukke et system resulterer i tab af flygtige data. Samtidig kan et kompromitteret system forårsage yderligere skade.

Skal jeg slette malwarefilen med det samme?

Hvis der senere er behov for bevismateriale, bør det ikke slettes eller genudføres uden kontrol.

Skal jeg geninstallere Windows efter en malware-detektering?

En geninstallation kan være nyttig senere til oprydningsformål. Hvis hændelsen skal undersøges, bør sikring af bevismateriale overvejes på forhånd.

Kan en fabriksnulstilling eller en ny installation løse alle problemerne?

Ikke nødvendigvis. Kompromitterede onlinekonti kan fortsætte uafhængigt af det lokale system.

Kan malware-forensik afgøre, hvilke data der blev stjålet?

Under passende forhold kan beviser for fil- og dataaktivitet rekonstrueres. Fuldstændig bevisførelse er ikke altid mulig.

Kan malware-efterforskning identificere gerningsmanden?

Ikke automatisk. Tekniske spor kan afsløre infrastruktur eller adgangsruter, men identificerer ikke nødvendigvis den fysiske person bag dem.

Kan malware-forensik rekonstruere et angreb med 100% sikkerhed?

Nej. Rekonstruktionen er begrænset til de data, der faktisk findes, og som er teknisk tilgængelige.

Hvornår skal der udføres malware-efterforskning?

I tilfælde af konkret mistanke om malware, phishing-angreb, ransomware, ukendt fjernadgang eller andre sikkerhedsrelevante aktiviteter, kan en retsmedicinsk undersøgelse være tilrådelig.

Malware-forensik undersøger ikke kun selve malwaren, men også hele den tekniske kontekst.

Opdagelsen af ​​en mistænkelig fil besvarer endnu ikke de afgørende spørgsmål om en sikkerhedshændelse.

Var filen rent faktisk skadelig? Blev den kørt? Hvornår skete dette? Hvilke ændringer blev foretaget? Blev der etableret permanent adgang? Var der eksterne netværksforbindelser? Var loginoplysninger eller filer påvirket?

Det er netop derfor, at malware-forensik går ud over en klassisk virusscanning.

En grundig undersøgelse kombinerer filanalyse, systemartefakter, udførelsesoplysninger, brugeraktivitet, hukommelsesforbrug, logdata og, hvis relevant, netværksspor. De individuelle resultater sammenlignes derefter både kronologisk og teknisk.

Lige så vigtige er begrænsningerne ved disse oplysninger. En registreret malwarefil beviser ikke automatisk, at den er blevet udført. Vellykket udførelse beviser ikke automatisk et databrud. En IP-adresse identificerer ikke automatisk gerningsmanden. Og en negativ virusscanning udelukker ikke endegyldigt en tidligere sikkerhedshændelse.

Malware-forensik handler derfor ikke om at søge efter så mange alarmer som muligt. Målet er en forståelig rekonstruktion af, hvad der rent faktisk kan bestemmes ud fra de tilgængelige digitale spor.

Tilbage til vidensoversigten