Polymorphe Malware ist Schadsoftware, die ihren Code oder ihre Verschlüsselung mit jeder Kopie oder Infektion verändert, sodass jedes Sample anders aussieht, während ihr Verhalten gleich bleibt.
Wie polymorphe Malware funktioniert
Ein polymorphes Programm besteht typischerweise aus einem verschlüsselten Schadteil und einem kleinen Entschlüssler. Bei jeder Verbreitung verschlüsselt eine Mutations-Engine den Schadteil mit einem neuen Schlüssel und schreibt den Entschlüssler mit anderen Befehlen, Registern und Junk-Code neu. So entstehen für jede Kopie ein neuer Datei-Hash und ein neues Bytemuster. Verwandte Ansätze:
- Metamorphe Malware – schreibt ihren gesamten Code um, nicht nur den Entschlüssler, sodass es keinen konstanten verschlüsselten Kern gibt.
- Serverseitige Polymorphie – der Verteilserver erzeugt für jeden Download eine frisch gepackte Datei, wie beim Storm Worm 2007 und in vielen modernen Malware-Kampagnen.
Polymorphie ist eine fortgeschrittene Form der Obfuskation. Die Idee ist alt: Das Virus 1260 (1990) gilt als erstes polymorphes Virus, und die Dark Avenger Mutation Engine Anfang der 1990er-Jahre ermöglichte es anderen Virenautoren, ihre Schöpfungen polymorph zu machen.
Warum polymorphe Malware relevant ist
Die klassische signaturbasierte Erkennung sucht nach bekannten Bytefolgen oder Datei-Hashes. Ist jedes Sample einzigartig, passt eine Signatur für eine Datei nicht mehr auf die nächste, und Hash-basierte Sperrlisten werden nahezu nutzlos. Heute nutzt die meiste weit verbreitete Malware – von per E-Mail verteilten Loadern bis zu Ransomware – irgendeine Form von Polymorphie oder automatisiertem Neupacken.
Wie man polymorphe Malware erkennt
- Auf Verhaltensanalyse setzen: Die Aktionen der Malware bleiben gleich, auch wenn sich ihr Code ändert.
- Emulation und heuristische Analyse nutzen, um den Entschlüssler laufen zu lassen und den entpackten Code im Speicher zu untersuchen.
- YARA-Regeln für stabile Merkmale der entpackten Nutzlast schreiben statt für die äußere Datei.
- EDR-Telemetrie mit Machine-Learning-Klassifikatoren kombinieren, die auf die Dateistruktur trainiert sind.
