DLL-Sideloading ist eine Technik, bei der Angreifer eine bösartige DLL neben ein legitimes, oft signiertes Windows-Programm legen, damit dieses ihren Code lädt und ausführt.
Wie DLL-Sideloading funktioniert
Windows-Programme laden Dynamic Link Libraries (DLLs) per Namen. Ist kein vollständiger Pfad angegeben, sucht Windows an mehreren Orten – zuerst im Ordner der Anwendung. Angreifer nehmen ein legitimes Programm, das eine bestimmte DLL erwartet – etwa eine Komponente eines Virenscanners, Mediaplayers oder Update-Tools –, kopieren es zusammen mit einer bösartigen DLL gleichen Namens in einen Ordner und starten es. Das vertrauenswürdige Programm lädt die bösartige Bibliothek, die die Payload ausführt und Aufrufe oft an die echte DLL weiterreicht, damit alles normal funktioniert.
MITRE ATT&CK führt dies unter Hijack Execution Flow (T1574), zusammen mit verwandten Techniken zum Kapern der DLL-Suchreihenfolge.
Warum das wichtig ist
- Der Schadcode läuft in einem signierten, angesehenen Prozess und umgeht so leichter EDR und Application-Allowlisting.
- Netzwerkverbindungen und Dateiaktivitäten scheinen von einem vertrauenswürdigen Programm zu stammen.
- Angreifer liefern das Trio „legitime EXE + bösartige DLL + verschlüsselte Payload“ in einem Archiv oder ISO-Abbild aus.
DLL-Sideloading ist seit über einem Jahrzehnt ein Markenzeichen von APT-Gruppen, besonders mit den Malware-Familien PlugX und ShadowPad, und wird inzwischen breit von Ransomware- und Infostealer-Betreibern genutzt. Die Technik passt gut zu Living-off-the-Land-Taktiken, die vertrauenswürdige Software missbrauchen.
Erkennung und Prävention
- Alarmieren, wenn signierte Programme aus ungewöhnlichen Orten wie Temp- oder Download-Ordnern starten.
- Auf unsignierte DLLs achten, die von signierten Prozessen geladen werden, sowie auf bekannte verwundbare Programme.
- Application Control (WDAC, AppLocker) mit DLL-Regeln nutzen und Schreibrechte auf Programmordner einschränken.
- Entwickler sollten DLLs mit vollständigem Pfad und sicheren Sucheinstellungen laden.
