Möglicherweise können Sie unsichtbare Malware finden, aber es ist nicht einfach, sie loszuwerden

Zu wissen, dass es unsichtbare Malware gibt Das ist jenseits der Reichweite Ihrer Anti-Malware-Software. Aber was ist, wenn du das erfährst, selbst wenn du dieses Zeug auffindest, wirst du es vielleicht nicht los? Abhängig von der Art der Hardware-basierten Malware, über die wir sprechen, kann dies leider durchaus der Fall sein.

Ich habe bereits letzte Woche über das Problem der unsichtbaren Malware geschrieben, die im BIOS (Basic Input / Output System) Ihres Computers vorhanden sein und virtuelle Rootkits enthalten kann. Diese Rootkits können dann im Hintergrund Ihre Server, Desktops oder andere Geräte übernehmen. Da sie in der Hardware vorhanden sind, werden sie von Ihrem Endpoint-Schutz oder anderen Anti-Malware-Paketen im Allgemeinen nicht angezeigt. Tatsächlich werden Sie möglicherweise nie erfahren, dass Sie infiziert sind, bis Ihre Daten nach einem Verstoß zum Verkauf angeboten werden.

Malware erkennen

Glücklicherweise haben Experten Wege gefunden, wie diese unsichtbare Malware aufgedeckt werden kann. Doch als ob die Bösen Schritt halten, gibt es auch neue Möglichkeiten, sie zu installieren. Dennoch wird die Aufgabe, es zu finden, etwas erleichtert. Beispielsweise kann eine neue Sicherheitsanfälligkeit in Intel-Prozessoren namens "ZombieLoad" durch Exploit-Code in Software angegriffen werden. Diese Sicherheitsanfälligkeit kann das Einfügen von Malware in das BIOS eines Computers aus der Ferne ermöglichen.

Während Forscher ZombieLoad noch untersuchen und versuchen, das Ausmaß des Problems in dieser letzten Runde von Intel-Exploits zu bestimmen, können sich solche Hardware-Exploits auf das gesamte Unternehmen erstrecken. "Firmware ist programmierbarer Code auf einem Chip", erklärt Jose E. Gonzalez, Mitbegründer und CEO von Trapezoid. "Sie haben eine Menge Code auf Ihrem System, den Sie nicht sehen."

Dieses Problem wird durch die Tatsache verschlimmert, dass diese Firmware in Ihrem gesamten Netzwerk vorhanden sein kann, und zwar auf Geräten, die von Webcams und Sicherheitsgeräten über Switches und Router bis zu den Computern in Ihrem Serverraum reichen. Alle von ihnen sind im Wesentlichen Computergeräte, sodass jeder von ihnen Malware mit Exploit-Code beherbergen kann. Tatsächlich wurden nur solche Geräte verwendet, um Denial-of-Service-Angriffe (DoS-Angriffe) von Bots aus zu starten, die auf ihrer Firmware basieren.

Trapezoid 5 kann das Vorhandensein von Firmware-basierter Malware über ein einzigartiges System von Wasserzeichen erkennen, das die Firmware jedes Geräts kryptografisch mit jeder Hardware verknüpft, auf der es jemals ausgeführt wird. Dies umfasst virtuelle Geräte, einschließlich virtueller Maschinen (VMs), die sich entweder vor Ort befinden, oder virtuelle Infrastructure-as-a-Service (IaaS), die in der Cloud ausgeführt werden. Diese Wasserzeichen können Aufschluss darüber geben, ob sich etwas an der Firmware des Geräts geändert hat. Durch Hinzufügen von Malware zur Firmware wird das Wasserzeichen ungültig.

Trapezoid enthält eine Firmware Integrity Verification Engine, mit der Probleme in der Firmware erkannt und vom Sicherheitspersonal untersucht werden können. Trapezoid lässt sich auch in viele Sicherheitsrichtlinien-Verwaltungs- und Berichterstellungstools integrieren, sodass Sie geeignete Schutzstrategien für infizierte Geräte hinzufügen können.

Backdoors erklären

Alissa Knight ist auf Hardware-Sicherheitsaspekte spezialisiert. Sie ist Senior Analystin bei The Aite Group und Autorin des kommenden Buches Hacking Connected Cars: Tactics, Techniques and Procedures . Ritter IT-Experten, die nach unsichtbarer Malware suchen, werden wahrscheinlich ein Tool wie Trapezoid 5 benötigen. "Es gibt einen grundlegenden Aspekt von Hintertüren, der es schwierig macht, sie zu erkennen, da sie darauf warten, dass bestimmte Auslöser sie wecken", erklärte sie.

Knight sagte, wenn eine solche Hintertür existiert, sei sie Teil einer Malware-Attacke oder aus einem anderen Grund, dann ist das Beste, was Sie tun können, um sie daran zu hindern, ihre Auslöser zu erkennen. Sie verwies auf Silencing Hardware Backdoors , einen Forschungsbericht von Adam Waksman und Simha Sethumadhavan, beide von der Labor für Computerarchitektur und Sicherheitstechnologie, Institut für Informatik an der Columbia University.

Untersuchungen von Waksman und Sethumadhavan zeigen, dass diese Malware-Auslöser durch drei Techniken daran gehindert werden können, zu funktionieren: Erstens ein Power-Reset (für speicherresidente Malware und zeitbasierte Angriffe); zweitens Datenverschleierung; und drittens Sequenzunterbrechung. Beim Verschlüsseln von Daten, die in Eingaben eingehen, werden die Trigger nicht erkannt, und der Befehlsstrom wird zufällig ausgewählt.

Das Problem bei diesen Ansätzen ist, dass sie in einer IT-Umgebung für alle außer für die kritischsten Implementierungen unpraktisch sein können. Knight wies darauf hin, dass einige dieser Angriffe eher von staatlich geförderten Angreifern als von Cyberkriminellen durchgeführt werden. Es ist jedoch erwähnenswert, dass diese staatlich geförderten Angreifer kleine bis mittelständische Unternehmen (SMBs) anstreben, um Informationen oder anderen Zugang zu ihren endgültigen Zielen zu erhalten. Daher können IT-Experten von KMU diese Bedrohung nicht einfach als zu hoch entwickelt ignorieren sich bei ihnen bewerben.

Verhindern, dass Malware kommuniziert

Eine Strategie, die funktioniert, besteht jedoch darin, die Kommunikation der Malware zu unterbinden, was für die meisten Malware- und Backdoors zutrifft. Selbst wenn sie dort sind, können sie nichts tun, wenn sie nicht eingeschaltet werden können oder wenn sie ihre Nutzlast nicht versenden können. Eine gute Netzwerkanalyse-Appliance kann dies tun. "Muss mit der Heimbasis kommunizieren", erklärte Arie Fred, Vizepräsident des Produktmanagements bei SecBI, das ein auf künstlicher Intelligenz (KI) basierendes Erkennungs- und Reaktionssystem für Bedrohungen einsetzt, um die Kommunikation von Malware zu verhindern.

"Wir verwenden einen protokollbasierten Ansatz, bei dem Daten von vorhandenen Geräten verwendet werden, um eine vollständige Sichtbarkeit des Bereichs zu gewährleisten", sagte Fred. Dieser Ansatz vermeidet die Probleme, die durch verschlüsselte Kommunikation mit der Malware entstehen und die einige Arten von Malware-Erkennungssystemen nicht erkennen können.

"Wir können autonome Untersuchungen und automatische Abhilfemaßnahmen durchführen", sagte er. Auf diese Weise können verdächtige Kommunikationen von einem Gerät zu einem unerwarteten Ziel verfolgt und blockiert werden, und diese Informationen können an anderer Stelle im Netzwerk weitergegeben werden.

Löschen von Hardware-basierter Malware

Sie haben also möglicherweise unsichtbare Malware gefunden und es möglicherweise geschafft, ein Gespräch mit dem Mutterschiff zu unterbinden. Alles gut, aber was ist damit, es loszuwerden? Es hat sich herausgestellt, dass dies nicht nur schwierig, sondern auch unmöglich ist.

In den Fällen, in denen dies möglich ist, besteht die sofortige Lösung darin, die Firmware neu zu installieren. Dadurch wird die Malware möglicherweise beseitigt, es sei denn, sie wurde über die eigene Lieferkette des Geräts übertragen. In diesem Fall würden Sie die Malware lediglich neu laden.

• Die beste Netzwerküberwachungssoftware für 2019 Die beste Netzwerküberwachungssoftware für 2019
• Die beste Software zum Entfernen und Schutz von Malware für 2019 Die beste Software zum Entfernen und Schutz von Malware für 2019
• Unsichtbare Malware ist hier und Ihre Sicherheitssoftware kann sie nicht abfangen. Unsichtbare Malware ist hier und Ihre Sicherheitssoftware kann sie nicht abfangen

Wenn Sie erneut einen Flash durchführen, ist es auch wichtig, Ihr Netzwerk auf Anzeichen einer erneuten Infektion zu überwachen. Diese Malware musste von irgendwo in Ihre Hardware eindringen, und wenn sie nicht vom Hersteller stammt, ist es auf jeden Fall möglich, dass dieselbe Quelle sie erneut sendet, um sich selbst wiederherzustellen.

Darauf kommt es an, mehr zu überwachen. Auf diese Weise wird der Netzwerkverkehr weiterhin auf Anzeichen von Malware überwacht und die verschiedenen Geräte-Firmware-Installationen werden auf Anzeichen von Infektionen überprüft. Und wenn Sie überwachen, können Sie vielleicht herausfinden, woher es kommt, und das auch beseitigen.