Ransomware-Killer überschreiben jetzt den Speicher von Sicherheitssoftware

Ein leiserer Weg, Ihre Schutzmechanismen zu blenden

Ransomware-Betreiber haben lange versucht, Sicherheitssoftware vor einem Angriff zu beenden, um Antiviren-Tools, Endpoint-Detection-and-Response-Agenten (EDR) und Backup-Dienste auszuschalten, damit der Verschlüsselung nichts im Weg steht. Doch eine neuere Generation von Werkzeugen, die mitunter als „Ransomware-Killer“ bezeichnet wird, verfolgt einen subtileren Ansatz. Anstatt einen Sicherheitsprozess direkt zu beenden, überschreiben diese Werkzeuge gezielt den Speicher des Prozesses, während die Anwendung technisch gesehen weiterläuft.

Dieser Unterschied ist bedeutsamer, als es zunächst klingt. Wird ein Sicherheitsprozess beendet, verschwindet er in der Regel aus der Prozessliste des Systems, und viele Unternehmen haben spezielle Überwachungen eingerichtet, um genau dieses Verschwinden zu melden. Ein Watchdog-Dienst, eine Management-Konsole oder eine Alarmregel kann den Moment erkennen, in dem ein Antiviren-Prozess nicht mehr reagiert, und Alarm auslösen. Indem stattdessen der Speicher dieses Prozesses überschrieben wird, können Angreifer seine Fähigkeit neutralisieren, Bedrohungen zu erkennen oder darauf zu reagieren, während der Prozess selbst für jeden, der einen Task-Manager oder eine einfache Statusprüfung betrachtet, weiterhin aktiv erscheint.

Warum das Überschreiben von Speicher schwieriger zu erkennen ist

Diese Technik nutzt eine Lücke zwischen dem, was Sicherheitstools überwachen sollen, und dem, was tatsächlich auf eine Kompromittierung hindeutet. Die meisten Verteidigungsschichten basieren auf der Annahme, dass ein funktionierender Sicherheitsagent bedeutet, dass der Schutz intakt ist. Ist der Prozess vorhanden und läuft, geht man davon aus, dass er seine Aufgabe erfüllt. Ransomware-Killer, die den Speicher direkt manipulieren, untergraben diese Annahme, ohne das offensichtliche Signal – einen Prozessabsturz oder eine Beendigung – auszulösen, auf das viele Erkennungssysteme angewiesen sind.

Dies ist eine natürliche Weiterentwicklung eines Trends, der bereits die Vorgehensweise von Ransomware-Gruppen verändert hat. Wie kürzlich in einem Beitrag über EDR-ausschaltende Ransomware-Frameworks beschrieben, sind Angreifer dazu übergegangen, nicht mehr im Wettlauf gegen die Reaktionszeit der Verteidigung Dateien zu verschlüsseln, sondern diese Verteidigungen zunächst methodisch zu deaktivieren. Speicherüberschreibungstechniken stellen den nächsten Schritt in diesem Playbook dar: Anstatt ein Werkzeug nur zu deaktivieren, lernen Angreifer, es so aussehen zu lassen, als wäre überhaupt nichts passiert.

Für Sicherheitsteams entsteht daraus ein praktisches Problem. Erkennungsstrategien, die auf der Frage „Läuft der Sicherheitsprozess noch?“ als Stellvertreter für „Ist der Endpoint noch geschützt?“ beruhen, können lautlos ausgehebelt werden. Das bedeutet nicht, dass diese Werkzeuge nutzlos sind, aber es bedeutet, dass Unternehmen zusätzliche Signale benötigen – etwa die Überprüfung, ob sich ein Prozess tatsächlich normal verhält und nicht nur existiert –, um solche Manipulationen zu erkennen.

Ein breiteres Muster der Umgehung von EDR und Antivirus

Diese Entwicklung fügt sich in ein umfassenderes Muster ein, bei dem Ransomware-Gruppen Sicherheitssoftware als erstes Hindernis betrachten, das es zu beseitigen gilt, und nicht als nebensächlich. Angreifer haben zunehmend dedizierte Werkzeuge entwickelt, nur um Erkennungsprodukte zu deaktivieren oder zu umgehen, bevor die eigentliche Ransomware-Nutzlast ausgeliefert wird. Der Trend zur Speichermanipulation anstelle des direkten Beendens deutet darauf hin, dass sich diese Gruppen aktiv an Verteidiger anpassen, die besser darin geworden sind, die gröbere Variante dieses Angriffs zu erkennen. Da mehrschichtige Verteidigungen, wie sie EDR-ausschaltende Ransomware-Frameworks erfordern, zur Standardempfehlung werden, verfeinern Angreifer entsprechend ihre Methoden, um genau diese Schichten zu unterlaufen.

Was das für Sie bedeutet

Für einzelne Anwender ist es unwahrscheinlich, dass diese Art von Angriff direkt auftaucht, da sie eher auf die Sicherheitsinfrastruktur von Unternehmen abzielt als auf persönliche Geräte. Aber die grundlegende Lehre gilt allgemein: Die bloße Anwesenheit eines Sicherheitstools auf Ihrem System ist keine Garantie dafür, dass es korrekt funktioniert. Ransomware-Killer erinnern daran, dass Angreifer zunehmend darauf abzielen, Schutzmechanismen leise zu deaktivieren, anstatt sichtbare Alarme auszulösen. Daher lohnt es sich, darauf zu achten, ob sich Ihre Sicherheitssoftware tatsächlich normal verhält, und nicht nur, ob sie installiert ist und läuft.

Für IT- und Sicherheitsteams unterstreicht diese Technik die Notwendigkeit, über einfache „Läuft der Prozess?“-Prüfungen hinauszugehen. Die Überwachung sollte auch eine Verhaltensüberprüfung der Sicherheitstools selbst umfassen – also zu prüfen, ob sie tatsächlich scannen, aktualisieren und wie erwartet berichten, und nicht nur einen Platz in der Prozessliste belegen. Mehrschichtige Verteidigung, redundante Überwachung und Out-of-Band-Prüfung des Sicherheitszustands werden umso wichtiger, je besser Angreifer darin werden, Normalität vorzutäuschen.

Umsetzbare Erkenntnisse

• Verlassen Sie sich nicht allein auf das Vorhandensein eines Prozesses als Beweis dafür, dass Sicherheitssoftware funktioniert; überprüfen Sie das Verhalten, nicht nur die Existenz.
• Stellen Sie sicher, dass Sicherheitstools, wo verfügbar, Integritätsprüfungen oder Manipulationsschutzfunktionen aktiviert haben.
• Richten Sie eine Überwachung ein, die ungewöhnliche Speicheraktivitäten im Umfeld kritischer Sicherheitsprozesse meldet, nicht nur Abstürze oder Beendigungen.
• Halten Sie Endpoint-Detection-Tools auf dem neuesten Stand, da Hersteller oft Patches gegen bekannte Umgehungstechniken veröffentlichen, sobald diese entdeckt werden.
• Betrachten Sie jede Meldung über „Ransomware-Killer“-Werkzeuge als Anlass, zu überprüfen, wie Ihr Unternehmen den Zustand seiner eigenen Verteidigung verifiziert, und nicht nur, ob diese technisch gesehen läuft.

Da Ransomware-Gruppen ihre Methoden weiter verfeinern, Sicherheitstools ohne offensichtliche Alarme zu neutralisieren, ist das Informiertbleiben über diese Umgehungstechniken eine der einfachsten Möglichkeiten, ihnen einen Schritt voraus zu sein.