Fileless Malware: Warum Ihr Scan sauber zurückkommt und was das wirklich bedeutet

Wenn sich ein Rechner auffällig verhält und jeder Scan sauber zurückkommt, ist “fileless Malware” (dateilose Schadsoftware) der Begriff, zu dem man als Nächstes greift. Die Kategorie existiert wirklich, wird aber weit lockerer verwendet, als die meisten Artikel zugeben, und genau diese Unschärfe gehört zuerst geklärt.

Es gibt keine einheitliche Definition, und Microsoft sagt das auch

Das ist der ehrliche Ausgangspunkt. Die Dokumentation von Microsoft hält selbst fest, dass es keine einheitliche Definition von fileless Malware gibt, dass der Begriff breit verwendet wird und dass er mitunter auf Malware-Familien angewandt wird, die für ihre Arbeit sehr wohl auf Dateien angewiesen sind.

Wenn eine Seite Ihnen also erklärt, fileless Malware “berühre die Festplatte nie”, beschreibt sie einen einzelnen Fall so, als wäre er die ganze Kategorie. Der brauchbare Rahmen ist der von Microsoft: Er sortiert diese Bedrohungen in drei Typen danach, wie viele Spuren sie hinterlassen.

Typ I: überhaupt keine Dateiaktivität

Das ist der Fall, der dem landläufigen Bild entspricht, und er ist der seltenste.

Das Beispiel von Microsoft: Ein Rechner empfängt bösartige Netzwerkpakete, die die EternalBlue-Schwachstelle ausnutzen, worüber die Hintertür DoublePulsar installiert wird, die anschließend ausschließlich im Kernel-Speicher liegt. Es wird nichts in eine Datei geschrieben.

Dieselbe Kategorie umfasst Schadcode, der sich in der Firmware eines Geräts wie einem BIOS versteckt, in einem USB-Peripheriegerät über die BadUSB-Technik oder in der Firmware einer Netzwerkkarte. Und hier ist der Satz, bei dem es sich lohnt, kurz innezuhalten: Solcher Code würde Neustarts, Festplattenformatierungen und Neuinstallationen des Betriebssystems überstehen.

Ebenso deutlich äußert sich Microsoft zu den Grenzen. Diese Infektionen sind schwer zu erkennen, weil die meisten Antivirenprodukte Firmware nicht prüfen können, die Bereinigung auf dieser Ebene ist tatsächlich schwierig, und die Angriffe erfordern hohe Raffinesse und spezifische Hardware. Sie sind selten und für die meisten Angriffe nicht praktikabel. Falls Sie sich fragen, ob das mit Ihrem Notebook passiert ist: Mit ziemlicher Sicherheit nicht.

Typ II: indirekte Dateiaktivität

Hier wird es praktisch relevant, und hier beginnt der Reflex des Entfernens zu versagen.

Das Beispiel ist die Hintertür Poshspy: Angreifer installierten einen bösartigen PowerShell-Befehl innerhalb des WMI-Repositorys und richteten einen WMI-Filter ein, um ihn regelmäßig auszuführen. Die Malware schreibt keine Datei direkt.

Das WMI-Repository liegt durchaus in einer physischen Datei. Microsoft stuft den Fall trotzdem als fileless ein, und die angegebene Begründung ist der entscheidende Teil: Das Repository ist ein Mehrzweck-Datencontainer, der nicht erkannt und entfernt werden kann. Es enthält legitime Systemdaten. Sie können es nicht in Quarantäne verschieben, und Löschen kommt nicht infrage.

Das ist der Unterschied zwischen “versteckt” und “mit den üblichen Mitteln nicht entfernbar”. Ein Scanner kann völlig gesund sein und trotzdem nichts haben, worauf er reagieren könnte.

Typ III: Dateien nötig, aber für Sie wertlos

Das Beispiel hier ist Kovter, das in der Registry einen Handler für das Verb open für eine zufällige Dateiendung anlegt. Das Öffnen einer Datei mit dieser Endung führt über das legitime Werkzeug mshta.exe ein Skript aus, das weitere Daten aus einem anderen Registry-Schlüssel liest und die Payload lädt.

Kovter legt tatsächlich Dateien ab. Microsoft betrachtet es dennoch als fileless, weil das Dateisystem praktisch nutzlos ist: Die abgelegten Dateien enthalten unbrauchbare Daten, mit denen sich die Bedrohung nicht überprüfen lässt, und die Registry-Dateien mit dem eigentlichen Inhalt sind Container, die nicht erkannt und gelöscht werden können.

Die Malware hinterlässt also Spuren, und diese Spuren sind nicht verwertbar. Das ist eine ganz andere Lage als bei einem Virus, der in einem Ordner darauf wartet, in Quarantäne verschoben zu werden.

Warum der Scan sauber zurückkommt

Nimmt man die drei Typen zusammen, erklärt sich das Symptom, das Menschen zur Suche treibt.

Ein klassischer Scan sucht nach bösartigen Dateien auf der Festplatte. Typ I hat keine. Typ II versteckt sich in einem legitimen Mehrzweck-Container. Typ III hinterlässt Dateien, die absichtlich bedeutungslos sind. In allen drei Fällen ist ein sauberes Ergebnis das zu erwartende Resultat und kein Widerspruch zu dem, was Sie beobachten.

Microsofts eigene Antwort ist kein besserer Dateiscanner. Genannt werden AMSI, Verhaltensüberwachung, Speicheranalyse und Bootsektorschutz als die Mechanismen, die diese Bedrohungen erfassen, weil jeder davon auf etwas anderes schaut als auf eine Datei auf der Festplatte.

Praktisch übersetzt: Wenn Sie etwas Skriptbasiertes vermuten, lassen Sie den Echtzeitschutz von Windows Defender aktiviert, statt ihn zugunsten eines Scanners auf Abruf abzuschalten. Die Verhaltensüberwachung in Echtzeit ist die Schicht, die hier greift, und sie ist genau die Schicht, die am häufigsten deaktiviert wird.

Was konkret zu tun ist

Drei Schritte, geordnet danach, wie viel sie bringen.

Hören Sie auf zu fragen “was entferne ich”. Bei Typ II und Typ III gibt es möglicherweise nichts, was Sie in Quarantäne verschieben könnten. Die Frage, die zählt, ist, was der Einbruch berührt hat, und nicht, welche Datei zu löschen ist.

Behandeln Sie die Zugangsdaten als den Verlust. Skriptbasierte Bedrohungen sammeln und exfiltrieren ganz überwiegend. Passwörter von einem anderen, sauberen Gerät aus zu wechseln und aktive Sitzungen zu beenden verringert den tatsächlichen Schaden; das Löschen einer wertlosen Datei tut das nicht.

Neu aufsetzen, wenn es persistent war und Sie es nicht erklären können. Bei einem Rechner mit Finanz- oder Geschäftsdaten, der ein Verhalten zeigt, das Sie sich nicht erklären können, ist eine saubere Neuinstallation eine vernünftige und endgültige Antwort. Beachten Sie aber die ehrliche Einschränkung aus Typ I: Code auf Firmware-Ebene würde selbst das überstehen. Das ist selten, aber es ist der Grund, warum “Neuinstallieren löst alles” nicht ganz stimmt.

Die Kurzfassung

Fileless ist ein unscharfes Etikett, und Microsoft sagt das unumwunden. Nur Typ I berührt die Festplatte nie, und er ist selten und schwer umzusetzen. Typ II versteckt sich in Containern wie dem WMI-Repository, die nicht erkannt und entfernt werden können. Typ III legt Dateien ab, die zur Überprüfung absichtlich unbrauchbar sind.

In allen drei Fällen sagt Ihnen ein sauberer Scan sehr wenig. Die Abwehrmechanismen, die wirken, sind verhaltensbasiert statt dateibasiert, und der Schaden, um den es sich zu kümmern lohnt, sind meist die Zugangsdaten, die abgeflossen sind, nicht die Datei, die geblieben ist.

Die Einteilung in drei Typen, das Beispiel EternalBlue und DoublePulsar, die Aussage, dass Code auf Firmware-Ebene Neustarts, Festplattenformatierungen und Neuinstallationen des Betriebssystems überstehen würde, der Fall Poshspy und das WMI-Repository, die Registry-Technik von Kovter, die Einschätzung, dass Angriffe vom Typ I selten und nicht praktikabel sind, sowie die Liste aus AMSI, Verhaltensüberwachung, Speicheranalyse und Bootsektorschutz stammen sämtlich aus der Dokumentation von Microsoft Defender for Endpoint zu dateilosen Bedrohungen, geprüft zum Zeitpunkt der Erstellung. Angriffstechniken entwickeln sich weiter; prüfen Sie die aktuelle Herstellerdokumentation, bevor Sie sich auf ein bestimmtes Detail verlassen. Kommerzielle Links tragen das Attribut rel=“sponsored nofollow”; es kann eine Affiliate-Provision anfallen, ohne dass für Sie zusätzliche Kosten entstehen.