[et_pb_section fb_built=“1″ specialty=“on“ custom_css_main_1=“max-width:15%;“ disabled_on=“off|off|“ _builder_version=“4.16″ module_alignment=“center“ custom_padding=“0|0px|0|0px|false|false“ global_colors_info=“{}“][et_pb_column type=“1_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Tag“ _builder_version=“4.16″ _dynamic_attributes=“content“ custom_padding=“||0px“ locked=“on“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9kYXRlIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIuIiwiZGF0ZV9mb3JtYXQiOiJjdXN0b20iLCJjdXN0b21fZGF0ZV9mb3JtYXQiOiJkIn19@[\/et_pb_text][et_pb_text admin_label=“Monat“ _builder_version=“4.16″ _dynamic_attributes=“content“ custom_margin=“-5px||2px“ custom_padding=“||0px“ locked=“on“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9kYXRlIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIiLCJkYXRlX2Zvcm1hdCI6ImN1c3RvbSIsImN1c3RvbV9kYXRlX2Zvcm1hdCI6Ik0ifX0=@[\/et_pb_text][et_pb_divider color=“#939393″ divider_weight=“5px“ _builder_version=“4.16″ max_width=“25px“ height=“0px“ custom_margin=“0px||“ locked=“on“ global_colors_info=“{}“] [\/et_pb_divider][et_pb_text admin_label=“Jahr“ _builder_version=“4.16″ _dynamic_attributes=“content“ text_font_size=“11px“ custom_margin=“0px||“ locked=“on“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9kYXRlIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIiLCJkYXRlX2Zvcm1hdCI6ImN1c3RvbSIsImN1c3RvbV9kYXRlX2Zvcm1hdCI6IlkifX0=@[\/et_pb_text][et_pb_text admin_label=“Schlagw\u00f6rter“ _builder_version=“4.16″ _dynamic_attributes=“content“ text_font=“|300|on||||||“ text_text_color=“#000000″ text_font_size=“12px“ text_line_height=“1.4em“ custom_margin=“10px||“ custom_padding=“14px||“ border_width_top=“1px“ border_color_top=“#939393″ border_style_top=“dotted“ saved_tabs=“all“ locked=“off“ global_colors_info=“{}“]@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF90YWdzIiwic2V0dGluZ3MiOnsiYmVmb3JlIjoiIiwiYWZ0ZXIiOiIiLCJsaW5rX3RvX3Rlcm1fcGFnZSI6Im9mZiIsInNlcGFyYXRvciI6IiwgIiwiY2F0ZWdvcnlfdHlwZSI6InBvc3RfdGFnIn19@[\/et_pb_text][\/et_pb_column][et_pb_column type=“3_4″ specialty_columns=“3″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.16″ custom_padding=“23px|0px|26.6094px|0px|false|false“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Introtext“ _builder_version=“4.27.4″ text_font=“||on||||||“ custom_margin=“10px||25px“ custom_padding=“5px||5px“ border_width_top=“1px“ border_color_top=“#939393″ border_width_bottom=“1px“ border_color_bottom=“#939393″ locked=“off“ global_colors_info=“{}“]<\/p>\n
Manche Angreifer betten Bedrohungen in Bild- oder Videodateien ein, um damit Angriffe durch die Hintert\u00fcr zu starten. Denn evasive Malware tarnt sich vor signaturbasierten Antivirenl\u00f6sungen immer h\u00e4ufiger \u2013 und besser. Das s\u00fc\u00dfe K\u00e4tzchen entpuppt sich wom\u00f6glich als Trojaner.<\/p>\n
Aber auch f\u00fcr evasive Malware stehen wirkungsvolle Abwehrma\u00dfnahmen zur Verf\u00fcgung, die Bedrohungen erkennen, analysieren und verhindern.<\/p>\n
[\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner column_structure=“1_2,1_2″ admin_label=“Zeile“ _builder_version=“4.16″ custom_padding=“23px|0px|26.6094px|0px|false|false“ global_colors_info=“{}“][et_pb_column_inner type=“1_2″ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Risiken“ _builder_version=“4.27.4″ text_font=“|300|||||||“ text_text_color=“#000000″ hover_enabled=“0″ global_colors_info=“{}“ sticky_enabled=“0″]<\/p>\n
Im Vergleich zu Bildern eignen sich Videos aufgrund der h\u00f6heren Datenmenge noch besser f\u00fcr Cyberangriffe.<\/p>\n
Dabei gibt es grunds\u00e4tzlich zwei Taktiken:<\/strong> [\/et_pb_text][\/et_pb_column_inner][et_pb_column_inner type=“1_2″ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text _builder_version=“4.27.4″ _module_preset=“default“ background_color=“#e0e0e0″ custom_margin=“1rem||||false|false“ custom_padding=“1rem|1rem|1rem|1rem|false|false“ hover_enabled=“0″ global_colors_info=“{}“ sticky_enabled=“0″]<\/p>\n Unser Blogbeitrag Steganografie: tarnen und t\u00e4uschen<\/a> beschreibt die Gefahr durch sogenannten \u201ePayload\u201c im nicht sichtbaren Hintergrund von Bilddateien. Ein Doppelklick reicht aus, und schon wird die versteckte Malware ausgef\u00fchrt oder nachgeladen.<\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.27.4″ custom_padding=“23px|0px|26.6094px|0px|false|false“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Schwachstellen ausnutzen“ _builder_version=“4.22.1″ text_font=“|300|||||||“ text_text_color=“#000000″ global_colors_info=“{}“]<\/p>\n Eigentlich validiert die Dateityp-\u00dcberpr\u00fcfung den Dateityp. Jedoch kann man weder dem Content-Type-Header noch dem Erweiterungsnamen, der den Dateityp definiert, voll vertrauen, da beides gef\u00e4lscht werden kann. Spoofing ist der \u00dcberbegriff f\u00fcr diese Art der T\u00e4uschung, Verschleierung und Manipulation.<\/p>\n Leider \u00fcberpr\u00fcfen auch viele Mediaplayer die Struktur von Videodateien nicht vollst\u00e4ndig, und diese Sicherheitsl\u00fccke ist ein gutes Versteck f\u00fcr Malware im Video.[\/et_pb_text][et_pb_text admin_label=“Beispiele Schwachstellen“ _builder_version=“4.27.4″ text_font=“|300|||||||“ text_text_color=“#000000″ global_colors_info=“{}“]<\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.22.1″ background_color=“#e0e0e0″ custom_padding=“2rem|2rem|1rem|2rem|false|false“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Vulnerabilit\u00e4ten in Standardfunktionen“ _builder_version=“4.27.4″ text_font=“|300|||||||“ text_text_color=“#000000″ custom_margin=“0px||0px||false|false“ custom_padding=“0px||0px||false|false“ global_colors_info=“{}“]<\/p>\n Eine weitere Angriffsmethode missbraucht eine legitime Media-Player-Funktion, um Malware \u00fcber Videos zu verbreiten. Ein Angriffsvektor nutzt z.B. die Standardfunktion Script Command, eine wesentliche Funktion im Windows Media Player. Dieser Befehl erm\u00f6glicht dem Media-Player die Interaktion mit einem Browser w\u00e4hrend der Datei-Wiedergabe, um einen Videocodec herunterzuladen oder zu verfolgen \u2013 trotz des dadurch entstehenden Risikos. Eine WMV-Videodatei basiert auf dem Containerformat Microsoft Advanced Systems Format (ASF) und wird mit Windows Media-Komprimierung verpackt.<\/p>\n ASF kann ein Skriptbefehlsobjekt enthalten, das zum Streamen von Text und zum Bereitstellen von Befehlen verwendet wird. Diese wiederum k\u00f6nnen Elemente innerhalb der Clientumgebung steuern. ASF erm\u00f6glicht einfache Skriptbefehle wie URLANDEXIT<\/em>, die bei der Ausf\u00fchrung automatisch eine in die Videodatei eingebettete URL im Standardbrowser starten. Auf der Seite wird das Opfer dann zum Herunterladen eines Plugins, Updates oder Codecs aufgefordert, welches zum Abspielen des Videos angeblich unbedingt n\u00f6tig ist \u2013 in Wirklichkeit aber als Schadsoftware das System des Anwenders kompromittiert.<\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner column_structure=“1_2,1_2″ admin_label=“Zeile“ _builder_version=“4.22.1″ custom_padding=“2rem|0px|26.6094px|0px|false|false“ global_colors_info=“{}“][et_pb_column_inner type=“1_2″ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Datei Desinfektion“ _builder_version=“4.27.4″ text_font=“|300|||||||“ text_text_color=“#000000″ global_colors_info=“{}“]<\/p>\n L\u00f6sungen zur Datei-Desinfektion<\/a> behandeln jede Datei zun\u00e4chst als potenzielle Bedrohung. Deep CDR (Content Disarm and Reconstruction) von OPSWAT<\/a> ist solch eine Zero Trust L\u00f6sung, sie verarbeitet und analysiert Dateien und darin eingebettete Objekte, URLs, Hyperlinks und andere Elemente. Im Anschluss entfernt, schw\u00e4rzt oder ver\u00e4ndert sie nicht genehmigte Objekte. So wird gew\u00e4hrleistet, dass Dateien, auf welchem Weg auch immer sie in Ihre IT-Infrastruktur gelangen, am Ende sicher verwendet werden k\u00f6nnen.<\/p>\n [\/et_pb_text][\/et_pb_column_inner][et_pb_column_inner type=“1_2″ saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_image src=“https:\/\/www.prosoft.de\/blog\/wp-content\/uploads\/2023\/08\/3-a2b13cd3-7f03-430c-ab93-4e077e2c1029-1-512×512.jpg“ alt=“Hacker schaut her“ title_text=“Bigstock_470270831″ align_tablet=“center“ align_phone=“center“ align_last_edited=“on|desktop“ admin_label=“Bild Video B\u00f6sewicht“ _builder_version=“4.22.1″ width=“100%“ custom_margin=“||0px||false|false“ custom_padding=“||0px||false|false“ global_colors_info=“{}“] [\/et_pb_image][et_pb_text _builder_version=“4.22.1″ _module_preset=“default“ custom_margin=“10px||||false|false“ custom_padding=“0px||||false|false“ global_colors_info=“{}“]<\/p>\n S\u00fc\u00df, aber gut getarnt.<\/strong> Hat sie es einmal ins System geschafft, l\u00e4sst die Schadsoftware die Katze aus dem Sack.<\/em><\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.16″ custom_padding=“0px|||||“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Datei Desinfektion“ _builder_version=“4.27.4″ text_font=“|300|||||||“ text_text_color=“#000000″ global_colors_info=“{}“]<\/p>\n Richtig komfortabel wird Deep CDR durch die Rekonstruktionsfunktion. Die L\u00f6sung rekonstruiert den Video-Inhalt f\u00fcr volle Funktionalit\u00e4t, so dass man das Video gefahrlos ansehen kann (Benutzer m\u00f6gen ja Katzenvideos, aber keine b\u00f6swillig manipulierten). Beim Desinfizieren einer infizierten Datei wird u.a. der Befehl URLANDEXIT<\/em> erkannt und entfernt, genau wie Script Command-Objekte. Die neue, rekonstruierte Datei bleibt voll nutzbar, aber es ist nicht mehr m\u00f6glich, damit Schadsoftware nachzuladen.<\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.16″ custom_padding=“23px|0px|26.6094px|0px|false|false“ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Adaptive Bedrohungsnalyse“ _builder_version=“4.27.4″ text_font=“|300|||||||“ text_text_color=“#000000″ global_colors_info=“{}“]<\/p>\n Kann Malware durch intelligente Tarnung signaturbasierte (statische) Antivirenl\u00f6sungen \u00fcberlisten, spricht man von evasiver (fl\u00fcchtiger) Malware. Bereits im Internet Security Report Q4\/2019 von Watchguard wurde eine Zunahme auf insgesamt 68 % am Gesamtvolumen von Malware festgestellt. Dieser Malware ist mit traditionellen Antivirenl\u00f6sungen alleine nicht mehr beizukommen. Moderne Antivirenl\u00f6sungen sind gefragt, welche gepaart mit KI \/ ML und verhaltensbasierter Detektion und dem Zeitvorsprung durch Schwarmintelligenz – durch Threat Intelligence – Ihre IT und OT wirkungsvoll sch\u00fctzen.<\/p>\n Eine weitere wirkungsvolle Schutzma\u00dfnahme ist eine Sandbox der neuesten Generation. Diese nutzt adaptive Bedrohungsanalyse, um tiefer in das Verhalten und die F\u00e4higkeiten der Malware einzutauchen. Dadurch kann sie Zero Day Malware, eine st\u00e4rkere Extraktion von Indicator of Compromise (IOC) und umsetzbare Bedrohungsinformationen erkennen.<\/p>\n Durch die Vorab-Pr\u00fcfung der WMV-Datei mit Deep CDR und Filescan erhalten Sie tiefere Einblicke in die eventuell enthaltene Bedrohung. Im obigen Beispiel l\u00e4dt die OPSWAT Sandbox<\/a> Filescan die Datei von URLANDEXIT herunter und f\u00fchrt eine statische Analyse durch, um risikolos weitere Details zum Verhalten, der Taktik, der Technik und den IOCs der Malware bereitzustellen. Denn eine Bedrohung, die man kennt, kann man wirkungsvoller bek\u00e4mpfen.<\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][\/et_pb_column][\/et_pb_section][et_pb_section fb_built=“1″ specialty=“on“ custom_css_main_1=“max-width:15%“ _builder_version=“4.21.0″ background_enable_color=“off“ custom_padding=“0|0px|0|0px|false|false“ custom_css_main_element=“background-color: #efefef“ global_colors_info=“{}“][et_pb_column type=“1_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_image src=“https:\/\/www.prosoft.de\/blog\/wp-content\/uploads\/2018\/12\/fazit.svg“ alt=“Fazit“ title_text=“fazit“ align_tablet=“center“ align_phone=“center“ align_last_edited=“on|desktop“ disabled_on=“on|on|“ admin_label=“Bild Fazit“ _builder_version=“4.21.0″ max_width=“35%“ module_alignment=“right“ saved_tabs=“all“ locked=“off“ global_colors_info=“{}“] [\/et_pb_image][\/et_pb_column][et_pb_column type=“3_4″ specialty_columns=“3″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_row_inner admin_label=“Zeile“ _builder_version=“4.16″ global_colors_info=“{}“][et_pb_column_inner saved_specialty_column_type=“3_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_text admin_label=“Text FAZIT“ _builder_version=“4.27.4″ global_colors_info=“{}“]<\/p>\n FAZIT<\/strong><\/p>\n In Videodateien eingebettete Malware-Attacken nutzen wie anderer Schadcode auch L\u00fccken in Ihrer Cyberabwehr, und Schwachstellen in Standard-Applikationen wie dem Windows Media-Player. Reicht die Tarnung der Malware aus, um statische Antivirenl\u00f6sungen zu \u00fcberwinden, spricht man von evasiver Malware. Experten empfehlen hier den Einsatz von kaskadierten Sicherheitsl\u00f6sungen. Denn moderne Anti-Malware-Scanner oder noch besser, Anti-Malware Multiscanner<\/a> in Kombination mit verhaltensbasierter Detektion und adaptiver Bedrohungsanalyse durch eine Sandbox, enttarnen selbst evasive Malware zuverl\u00e4ssig.<\/p>\n [\/et_pb_text][\/et_pb_column_inner][\/et_pb_row_inner][\/et_pb_column][\/et_pb_section][et_pb_section fb_built=“1″ admin_label=“Auto und Beitragsnavi“ _builder_version=“3.24″ custom_padding=“0|0px|2px|0px|false|false“ global_module=“706″ global_colors_info=“{}“][et_pb_row _builder_version=“4.16″ background_size=“initial“ background_position=“top_left“ background_repeat=“repeat“ max_width=“1080px“ custom_padding=“24px|0px|35px|0px|false|false“ locked=“off“ global_colors_info=“{}“][et_pb_column type=“4_4″ _builder_version=“4.16″ custom_padding=“|||“ global_colors_info=“{}“ custom_padding__hover=“|||“][et_pb_image src=“https:\/\/www.prosoft.de\/blog\/wp-content\/uploads\/2024\/10\/Robert-Korherr-Redakteur.png“ alt=“Robert Korherr“ title_text=“Robert-Korherr-Redakteur“ align=“center“ align_tablet=“center“ align_phone=““ align_last_edited=“on|desktop“ admin_label=“Bild Robert Korherr“ _builder_version=“4.27.2″ z_index_tablet=“500″ custom_css_main_element=“max-width:100px;;“ global_colors_info=“{}“][\/et_pb_image][et_pb_text admin_label=“Text RK“ _builder_version=“4.22.2″ text_orientation=“center“ z_index_tablet=“500″ global_colors_info=“{}“]<\/p>\n
\u21d2 Malware in Videodateien durch Ausnutzung von Schwachstellen
\u21d2 Missbrauch von Standardfunktionen<\/p>\nMehr zum Thema<\/h4>\n
Wenn das lustige Katzenvideo viral geht – mitsamt Virus<\/h3>\n
Zwei Beispiele zeigen, wie Angreifer Schwachstellen ausnutzen konnten:<\/h4>\n
\n
Auch Standardfunktionen lassen T\u00fcr und Tor offen<\/h3>\n
Zero-Trust: Mit Datei-Desinfektion vorbeugen!<\/h3>\n
Adaptive Bedrohungsanalyse enth\u00fcllt Malware<\/h3>\n