Viren und Malware Scanner

Die Funktionsweise von Antivirensoftware: Virenerkennungstechniken

Eine wesentliche Komponente der meisten Anti-Malware-Suites ist ein Anti-Virus-Tool, das dazu dient, erkannte und bisher unerkannte Daten mit schädlichem Programmcode zu erkennen und zu sperren, bevor sie dem Computer Schäden zufügen. Obwohl sich diese Werkzeuge in der Umsetzung ihrer Methoden zur Malwareerkennung voneinander abheben, verwenden sie in der Regel die selben Vorgehensweisen zur Virenerkennung.

Nachfolgend sind die Methoden zur Virenerkennung aufgeführt: Die signaturbasierte Detektion verwendet die wichtigsten Merkmale einer geprüften Akte, um einen stationären Abdruck von bekanntem Malware zu erzeugen. Diese Methode zur Aufdeckung von Malware war schon immer ein wichtiger Bestandteil von Antivirenprogrammen. Hauptnachteil der signaturbasierten Erkennung: Aufgrund des Grundkonzeptes dieser Technologie können nur bösartige Dateien entdeckt werden, für die bereits eine Signatur existiert.

Infolgedessen haben die Urheber von schädlichem Programmcode heute oft eine Mutation ihrer Datein. Dies führt zu einer anderen Dateisignatur, und das bösartige Potenzial Ihrer Viren wird beibehalten. Die heuristische Detektion erlaubt die Entdeckung von neuem Malware. Dabei werden die Daten nicht auf eine spezifische Unterschrift, sondern auf fragwürdige Eigenschaften durchsucht. Ein Antivirusprogramm kann zum Beispiel eine einzelne Textdatei nach wenig benutzten Kommandos oder Junkcode durchsuchen oder die Dateiausführung nachbilden.

Wenn nur ein verdächtiger Wert festgestellt wird, genügt es noch nicht, die betreffende Zeile als schädlichen Quellcode zu markieren. Jedoch kann das Vorliegen mehrerer solcher Funktionen einen Alert hervorrufen - in diesem Falle wird die betreffende Anwendung als Malware markiert. Größter nachteiliger Aspekt der heuristischen Detektion ist die Möglichkeit, harmlose Daten als Malware zu markieren.

Die Verhaltenserkennung überwacht die eigentliche Programmausführung, anstatt sie nur zu nachahmen. Dabei wird Malware durch ihr verdächtiges Verhalten erkannt, z. B. durch das Auspacken von schädlichem Programmcode, das Manipulieren von Daten auf dem Rechner oder das Aufzeichnen von Tastenanschlägen. Auf diese Weise kann ein Antivirenprogramm Malware erkennen, die noch nicht im gesicherten Rechner aufgetreten ist.

Wie bei der heuristischen Entdeckung genügen einige wenige Verdachtsmomente allein nicht, um das Schadprogramm als Malware zu identifizieren - nur gemeinsam können sie ein Zeichen für ein Schadprogramm sein. Der Einsatz von verhaltensbasierten Erkennungslösungen bringt Antiviren-Tools näher an HIPS-Systeme (Host Intrusion Prevention) - eine herkömmlich getrennte Warengruppe.

Die Cloud-basierte Erkennungsfunktion erkennt Malware, indem sie Informationen von gesicherten Computern sammelt und diese dann in der Providerinfrastruktur und nicht vor Ort auswertet. In der Regel verwendet diese Prozedur die relevanten Informationen über die Akte und den Zusammenhang ihrer Durchführung auf dem Ende. Darüber hinaus kann die Cloud-Engine durch die Korrelation von Malware-Merkmalen und -Verhaltensmustern aus mehreren Systemen aufzeigen.

Andere Antivirenkomponenten hingegen erkennen schädlichen Programmcode vor allem anhand des lokalen Beobachtungsverhaltens und der Auffälligkeiten. Häufig werden z. B. Bezeichnungen wie "heuristische" und "verhaltensbasierte Erkennung" gleichbedeutend benutzt. Zudem sind diese Methoden - wie die signaturbasierte Anerkennung - in der Regel auch dann aktiv, wenn das Werkzeug über Cloud-basierte Funktionalitäten verfügen sollte.

Damit die Hersteller von Antivirensoftware im Umgang mit der zunehmenden Malware-Flut die Nase vorn haben, müssen sie mit ihren Werkzeugen auf mehreren Stufen beginnen - ein einziger Weg ist nicht mehr sinnvoll. Im SANS-Institut gibt er Schulungen zur Malware-Kontrolle.