Die heuristische Analyse ist eine Methode der Malware-Erkennung, die unbekannte oder veränderte Bedrohungen anhand verdächtiger Merkmale und Verhaltensweisen statt durch exakte Übereinstimmung mit bekannten Samples aufspürt.
Wie heuristische Analyse funktioniert
Signaturbasierte Erkennung erkennt nur Dateien, die bereits bekannt sind. Heuristik-Engines wenden stattdessen Faustregeln an, die beschreiben, wie Malware typischerweise aussieht und sich verhält. Zwei Ansätze sind verbreitet:
- Statische Heuristik – die Datei wird untersucht, ohne sie auszuführen: verdächtige API-Importe, Code, der sich selbst entschlüsselt, hohe Entropie als Hinweis auf Packen, ungewöhnliche Dateistruktur oder Codefragmente, die bekannten Malware-Familien ähneln.
- Dynamische Heuristik – die Datei läuft in einem Emulator oder einer virtuellen Umgebung im Scanner, und es wird beobachtet, was sie tun würde, etwa Systemdateien verändern, Code in andere Prozesse einschleusen oder verdächtige Adressen kontaktieren.
Jedes Merkmal erhöht einen Punktwert; überschreitet die Summe einen Schwellenwert, wird die Datei markiert – oft mit einem generischen Namen wie „Trojan.Generic“ oder „HEUR“.
Warum heuristische Analyse relevant ist
Angreifer packen und verändern ihren Code ständig neu, und polymorphe Malware wandelt sich mit jeder Infektion – neue Varianten entstehen viel schneller, als Signaturen geschrieben werden können. Heuristik ermöglicht Antivirenprogrammen, viele dieser Varianten und manche bisher unbekannte Bedrohung zu erkennen. Heute wird sie mit Verhaltensüberwachung und Machine-Learning-Modellen kombiniert, die mit Millionen Samples trainiert sind.
Der Preis ist Genauigkeit: Aggressive Heuristik erzeugt mehr False Positives und markiert legitime gepackte Installer, Cracks oder Admin-Tools. Malware-Autoren testen ihre Samples zudem gegen Heuristik-Engines und nutzen Anti-Emulations-Tricks, um der Erkennung zu entgehen.
Wie heuristische Analyse eingesetzt wird
- Heuristischen Schutz aktiviert lassen, meist mit der vom Hersteller empfohlenen Empfindlichkeit.
- Vermutete Fehlerkennungen an den Hersteller senden, statt die Engine abzuschalten.
- Heuristik mit Verhaltenserkennung und EDR zu einer mehrschichtigen Verteidigung kombinieren.
