Warum aktiviert sich Malware nicht immer in einer Sicherheitstest-Umgebung?

Kurze Antwort: Angreifer konzipieren Malware so, dass sie inaktiv bleibt, bis sie ein Validierungssignal von einem lebenden Command-and-Control-Server (C2) erhält, den sie kontrollieren. Bis eine Probe in eine Malware-Datenbank gelangt, hat sich die C2-Infrastruktur in der Regel bereits verlagert – sodass Forscher häufig eine verwaiste Probe testen, die nichts tut.

Warum Angreifer Inaktivität einbauen

• Minimierung der Informationsgewinnung: Inaktive Malware führt keine beobachtbaren bösartigen Aktionen aus, wodurch Analysten weniger dokumentieren können und Anbieter weniger Grundlage für die Erstellung von Signaturen haben.
• Verhinderung einer Übernahme: Durch das Erfordernis eines geheimen Erkennungssignals wird sichergestellt, dass ein Konkurrent oder Forscher, der den C2-Server übernimmt, die Malware nicht einfach steuern und die gestohlenen Daten abgreifen kann.

Was das für die Bewertung von Sicherheitstools bedeutet

Ein Labortest gegen eine getrennte Probe misst sehr wenig. Die entscheidende Frage ist nicht, ob ein Tool auf inaktive, reglos vorliegende Malware reagiert, sondern ob es lebende, schnell ablaufende Angriffe stoppt, während sie geschehen. Cyber Crucible wurde für Letzteres entwickelt: Es überwacht die Einstiegspunkte für Identitäts- und Datendiebstahl, auf die reale Angriffe abzielen, bewertet die Absicht in unter 200 Millisekunden und stoppt den Diebstahl, bevor er erfolgreich ist.