Unklarer Alarm im Virenschutz oder EDR
Ein generischer Fund – doch was die Datei kann, ob sie ausgeführt wurde und ob weitere Systeme betroffen sind, bleibt offen.
Incident Response & Forensik
Malware-Analyse: Schadsoftware verstehen, Angriffe eindämmen
Wissen, was die Schadsoftware kann.
Ein Alarm im EDR, ein verdächtiger Anhang, ein unbekanntes Programm auf dem Server: Mit unserer Malware-Analyse klären wir, was die Schadsoftware tut, mit wem sie kommuniziert und wie sie sich festsetzt. Sie erhalten Indicators of Compromise (IoCs) und Erkennungsregeln, mit denen Ihr Team befallene Systeme findet und den Angriff gezielt eindämmt.
- 24/7-Notfall-Hotline
- Isolierte Analyseumgebung
- IoCs & Erkennungsregeln
Definition
Was ist eine Malware-Analyse?
Eine Malware-Analyse ist die systematische Untersuchung von Schadsoftware, um ihre Funktionsweise, ihre Rolle im Angriff und ihre Auswirkungen zu verstehen. Sie beantwortet die Fragen, die im Vorfall über das weitere Vorgehen entscheiden: Was kann das Programm, wie ist es auf das System gelangt, wie bleibt es aktiv, mit welchen Servern kommuniziert es – und welche Daten könnten abgeflossen sein?
Ein Treffer im Virenschutz oder EDR liefert meist nur einen generischen Namen. Ob dahinter Adware, ein Infostealer, ein Fernzugriffstrojaner oder ein Loader steckt, der später Ransomware nachlädt, macht für Ihre Reaktion einen großen Unterschied.
Die Ergebnisse fließen direkt in die Vorfallbehandlung – von der Blockierung über die Bereinigung bis zum Zurücksetzen von Zugangsdaten. Die Analyse ist eng mit unserer IT-Forensik verzahnt; mit den gewonnenen Indikatoren lässt sich zudem ein Compromise Assessment der gesamten Umgebung durchführen.
Auch für Meldepflichten zählt das Ergebnis: Konnte die Schadsoftware auf personenbezogene Daten zugreifen oder sie ausleiten, ist zu prüfen, ob eine meldepflichtige Datenschutzverletzung nach Art. 33 DSGVO vorliegt. Bei Unternehmen, die unter NIS2 fallen, fließen die Erkenntnisse zudem in die Bewertung ein, ob ein erheblicher Sicherheitsvorfall vorliegt. Wir liefern die technischen Fakten; die rechtliche Bewertung treffen Sie mit Ihrer Rechtsberatung.
Unser Vorgehen
So analysieren wir Schadsoftware – sicher und gestuft
Bevor wir Schadsoftware analysieren, sorgen wir für einen sicheren Umgang: Samples übernehmen wir verschlüsselt und mit Hashwerten dokumentiert, analysiert wird in einer isolierten Laborumgebung ohne Verbindung zu Ihrem Netzwerk. Öffentliche Analyseplattformen nutzen wir nur mit Ihrer Zustimmung – ein Upload kann vertrauliche Daten preisgeben und die Angreifer warnen.
Wir gehen gestuft vor: Triage und statische Analyse zeigen, womit wir es zu tun haben. In einer Sandbox und in kontrollierten virtuellen Maschinen beobachten wir, welche Prozesse die Schadsoftware startet, was sie verändert und welche Verbindungen sie aufbaut. Wo nötig, zerlegen wir einzelne Funktionen per Reverse Engineering – etwa um verschlüsselte Konfigurationen offenzulegen.
Erste Indikatoren erhält Ihr Team, sobald sie belastbar sind – nicht erst mit dem Bericht. Alle Erkenntnisse ordnen wir nach MITRE ATT&CK ein und übersetzen sie in Erkennungsregeln und Netzwerkindikatoren.
Typische Anlässe
Wann eine Malware-Analyse sinnvoll ist
Verdächtiger Anhang oder Download
Office-Dokumente mit Makros, Skripte, LNK-, ISO- oder HTML-Dateien wurden geöffnet. Wir klären, was im Hintergrund passiert ist und was nachgeladen wurde.
Ransomware-Vorfall
Wir analysieren Verschlüsselungsprogramm und Täterwerkzeuge – Variante, Ausbreitungs- und Löschfunktionen – und prüfen, ob ein öffentliches Entschlüsselungswerkzeug existiert, etwa über die Initiative No More Ransom.
Infostealer und gestohlene Zugangsdaten
Greift Schadsoftware Passwörter, Browser-Sitzungen oder Tokens ab, muss klar sein, welche Konten betroffen sind – als Grundlage für gezielte Sperrungen.
Hintertüren und Fernzugriff
Backdoors, Fernzugriffstrojaner und Webshells sichern Angreifern dauerhaften Zugang. Wir ermitteln Befehlsumfang, Kommunikationswege und Persistenz, damit sich der Zugang vollständig kappen lässt.
Schadsoftware auf Servern und Appliances
Kryptominer, Botnetz-Clients oder Implantate auf Linux-Servern, Webservern oder Netzwerkgeräten bleiben oft lange unentdeckt.
Analysetiefe nach Bedarf
Drei Stufen der Malware-Analyse
Nicht jede Frage erfordert ein vollständiges Reverse Engineering. Wir wählen die Tiefe nach Ihrer Fragestellung und vertiefen nur nach Absprache.
Triage
Ersteinschätzung
Ist die Datei schädlich, zu welcher Familie gehört sie, und welche ersten Indikatoren lassen sich ableiten?
- Klassifizierung und Threat-Intelligence-Abgleich
- Erste IoCs für Blockierung und Suche
- Empfehlung zum weiteren Vorgehen
Statisch & dynamisch
Verhaltensanalyse
Statische Untersuchung und kontrollierte Ausführung zeigen, was die Schadsoftware kann und wie sie kommuniziert.
- Sandbox und manuelle dynamische Analyse
- C2, Persistenz, Ausbreitung, Datenabfluss
- YARA- und Sigma-Regeln
Reverse Engineering
Tiefenanalyse
Analyse relevanter Funktionen bis auf Code-Ebene – wenn Verschlüsselung, Protokolle oder gezielt entwickelte Implantate verstanden werden müssen.
- Entschlüsselung von Konfigurationen und Protokollen
- Umgehung von Anti-Analyse-Techniken
- Ausführlicher technischer Bericht
Ablauf
Ablauf einer Malware-Analyse
Eingebettet in die Vorfallbehandlung im Bereich Incident Response & Forensik – angelehnt an Empfehlungen wie ISO/IEC 27035 und NIST SP 800-61 Rev. 3.
-
01
Erstkontakt & Fragestellung
Per 24/7-Notfall-Hotline, Notfall- oder Kontaktformular. Wir klären, was passiert ist und welche Fragen die Analyse beantworten soll; Sie erhalten ein individuelles Angebot.
-
02
Sichere Übergabe
Samples, Speicherabbilder und Protokolle übernehmen wir verschlüsselt und mit Hashwerten dokumentiert – oder sichern sie remote bzw. vor Ort selbst.
-
03
Triage & erste Indikatoren
Klassifizierung und erste IoCs, mit denen Ihr Team Verbindungen blockieren und betroffene Systeme eingrenzen kann.
-
04
Analyse & Reverse Engineering
Statische und dynamische Analyse von C2, Persistenz, Ausbreitung und Datenabfluss – bei Bedarf bis auf Funktionsebene.
-
05
Erkennung & Bereinigung
YARA- und Sigma-Regeln für die Suche in der gesamten Umgebung sowie Hinweise, welche Persistenzmechanismen und Konten zu bereinigen sind.
-
06
Bericht & Nachbereitung
Analysebericht und Lessons Learned. Ob Härtung und Erkennung wirken, zeigt später ein Penetrationstest oder ein Red Teaming – den Umfang beschreiben Sie über unser Pentest-Angebot.
Analysebericht
Der Analysebericht: verständlich für das Management, verwertbar für Ihr Sicherheitsteam
Der Bericht beantwortet, was die Schadsoftware kann, welches Risiko besteht und was jetzt zu tun ist – mit allen Indikatoren und Regeln in direkt nutzbarer Form. Umgang und Hashwerte der Samples sind dokumentiert, sodass sich die Ergebnisse in einen forensischen Gesamtbericht einfügen.
- Management Summary mit Fähigkeiten, Risiko und Handlungsbedarf
- Infektionskette, Persistenz und C2-Kommunikation im Detail
- Einordnung nach MITRE ATT&CK
- IoC-Liste, auch maschinenlesbar
- YARA- und Sigma-Regeln sowie Netzwerkindikatoren
- Empfehlungen für Eindämmung, Bereinigung und Härtung
Unbekannte Schadsoftware im Netz?
Je früher Sie wissen, was die Schadsoftware kann, desto gezielter können Sie handeln. Im akuten Fall rufen Sie unsere 24/7-Notfall-Hotline an – auch nachts und am Wochenende.
FAQ
Häufige Fragen zur Malware-Analyse
Ihre Frage ist nicht dabei? Rufen Sie uns an: +49 2932 465265-0 oder schreiben Sie an info@rootsektor.de.
Wie übermitteln wir Ihnen eine verdächtige Datei sicher?
Bitte nicht einfach per E-Mail – Filter blockieren die Datei, oder sie wird versehentlich geöffnet. Bewährt hat sich ein verschlüsseltes, passwortgeschütztes Archiv, das Sie über einen mit uns abgestimmten Weg übertragen; das Passwort teilen Sie uns separat mit, etwa telefonisch. Auf Wunsch sichern wir Samples und Speicherabbilder auch selbst, remote oder vor Ort.
Reicht es nicht, die Datei bei einem Online-Scanner hochzuladen?
Für eine erste Einschätzung vielleicht – doch hochgeladene Dateien sind dort oft für Dritte abrufbar, auch für Angreifer, die beobachten, ob ihre Werkzeuge entdeckt wurden. Gezielte Schadsoftware kann zudem interne Informationen wie Domänennamen oder Zugangsdaten enthalten. Und ein Erkennungsname verrät nicht, was die Software bei Ihnen getan hat.
Was ist der Unterschied zwischen statischer und dynamischer Analyse?
Statisch untersuchen wir die Datei, ohne sie auszuführen; dynamisch starten wir sie in einer isolierten Umgebung und beobachten ihr Verhalten. Beides ergänzt sich: Manche Schadprogramme erkennen Sandboxes und verhalten sich dort unauffällig, andere verschleiern ihren Code so stark, dass erst die Ausführung Klarheit bringt.
Wie helfen die Ergebnisse bei der Eindämmung?
Domains und IP-Adressen lassen sich an Firewall, Proxy und DNS blockieren, um die Verbindung zu den Angreifern zu kappen – idealerweise koordiniert, damit diese nicht vorzeitig gewarnt werden. Mit Hashwerten, YARA- und Sigma-Regeln finden Sie weitere befallene Systeme. Die Persistenzmechanismen zeigen, was zu entfernen ist; aus den Fähigkeiten – etwa dem Auslesen von Browser-Passwörtern – ergibt sich, welche Zugangsdaten zurückzusetzen sind.
Können Sie nach einem Ransomware-Angriff verschlüsselte Daten wiederherstellen?
Das lässt sich nicht zusagen. Moderne Ransomware verschlüsselt meist so, dass ohne den Schlüssel der Täter keine Entschlüsselung möglich ist – entscheidend für die Wiederherstellung sind daher unversehrte Datensicherungen. Die Analyse zeigt aber, um welche Variante es sich handelt und ob öffentliche Entschlüsselungswerkzeuge existieren, etwa über No More Ransom. Mehr dazu unter Ransomware-Notfallhilfe.
Was unterscheidet die Malware-Analyse vom Reverse Engineering im Code Review?
Die Methoden ähneln sich, Ziel und Rahmen nicht. Beim Code Review & Reverse Engineering bewerten wir legitime Software, Apps oder Firmware geplant auf Schwachstellen. Die Malware-Analyse untersucht feindlichen Code im Kontext eines Angriffs – mit dem Ziel, verwertbare Indikatoren für Eindämmung und Erkennung zu gewinnen.
Wie wird eine Malware-Analyse abgerechnet?
Malware-Analysen bieten wir individuell an. Der Aufwand hängt vor allem von der Analysetiefe ab; jede Vertiefung stimmen wir vorher mit Ihnen ab.
Weiterführende Seiten
Verdächtige Datei? Sprechen Sie mit uns
Beschreiben Sie kurz, was Sie gefunden haben – etwa Dateiname, Fundort und Alarmmeldung. Die Datei selbst senden Sie bitte nicht per E-Mail; den Übertragungsweg stimmen wir mit Ihnen ab. Im akuten Fall erreichen Sie unsere 24/7-Notfall-Hotline unter +49 2932 465265-0 oder nutzen das Notfall-Formular.