Speicherforensik
Hilfe bei der Vorfallsreaktion
Fortsetzung des Artikels von Teil 1
Wonach man suchen sollte
Malware kann sich zwar sehr gut verstecken, aber um wirksam zu sein, muss sie dennoch laufen. Schadsoftware versteckt sich an Orten, zu denen ein Benutzer vielleicht nicht navigiert, aber wenn sie ausgeführt wird, läuft auf dem Gerät ein Prozess für die Malware. Der einfachste Weg, nach Malware zu suchen, besteht also darin, sich die laufenden Prozesse auf einem Gerät genau anzuschauen. Man sollte also in den Prozesslisten nach Prozessnamen suchen, die man nicht kennt. Zu diesen kann man dann eine Suchmaschine befragen und so möglicherweise wertvolle Hinweise erhalten. Ein weiterer guter Ausgangspunkt ist die Betrachtung von Prozessbäumen. Man sollte sich ansehen, welche Prozesse erstellt wurden und welches die übergeordneten Prozesse sind. Handelt es sich dabei um die zu erwartende Aktivität?
Ein guter Tipp ist es, sich Prozesse mit legitimen Windows-Namen wie „svchost.exe“ näher anzusehen. Windows-Systemprozesse haben immer festgelegte übergeordnete Prozesse und Ausführungsorte. Findet man einen Prozess, der von einem unüblichen und unerwarteten Ort aus ausgeführt wird, ist es sinnvoll, ihn genauer zu untersuchen. Schließlich sollte das Untersuchungsteam auch noch die Netzwerkverbindungen überprüfen. Gibt es irgendwelche ungewöhnlichen Ports, mit denen eine Verbindung hergestellt ist? Hier ist insbesondere auf sogenannte „Pokerhände“ zu achten, also Ports mit denselben Ziffern wie „4444“ oder Reihen wie „1234“. Denn dies sind Zahlenkombinationen, die Angreifer oft nutzen.
Speicherforensik ist ein wirkungsvolles Werkzeug im Arsenal zur Reaktion auf Vorfälle. Gerade wenn es um eine schnelle Einordnung geht, ist die Möglichkeit, eine vmem-Datei abzurufen und eine Analyse durchzuführen, eine große Hilfe und eine gute Grundlage für weitere Schritte.
Michael Scheffler ist Country Manager DACH von Varonis Systems.
- Hilfe bei der Vorfallsreaktion
- Wonach man suchen sollte
Lesen Sie mehr zum Thema
Das könnte Sie auch interessieren
