text: Fileless Malware ist derzeit in aller Munde. Mal wieder eine „neue“ Angriffsform, vor der jeder Hersteller 148 % besser als der andere Hersteller schützt. So konnte ich auf der diesjährigen itsa wieder beobachten, wie sich die IT-Security Branche in Sachen Bullsh**-Bingo wieder einmal selbst übertreffen konnte. Im heutigen Blogpost möchte ich möglichst kurz und bündig auf das Konzept Fileless Malware eingehen, das Risiko beschreiben und erklären, wieso wir auch deswegen vermutlich nicht sterben werden.
  Zu Beginn möchte ich erst einmal mit dem Gerücht aufräumen, dass Fileless Malware ein neues Phänomen der Cybersecurity ist. Bereits 2012 gab es die ersten Downloader, die Schadcode direkt im Speicher ablegten. Bis 2015 gab es dann mit XseKit, Powersniff und anderen Schadprogrammen sehr prominente Vertreter der Fileless Malware, bevor es anschließend wieder etwas ruhiger um dieses Thema wurde. Doch was verstehen wir überhaupt unter Fileless Malware?
  Einfach ausgedrückt, ist Fileless Malware bösartiger Code, der im RAM oder Kernel eines Endgeräts existiert und nicht vom Storage abhängt, um irgendeine Art des Schadens zu verursachen. Eine Fileless Malware läuft im Normalfall also im Speicher, richtet Kontroll- und Befehlskanäle ein und lädt bei Gelegenheit gerne weiteren Schadcode nach. Oftmals wird bei Fileless Malware angemerkt, dass diese nach einem Neustart der Systeme ja „eh wieder weg ist“, was in meinen Augen zwar nett, aber keineswegs zu Ende gedacht ist. Dies hat zwei Gründe:
  Wie oft startet der normale Anwender denn seinen Client neu? Nicht jede Malware zeigt wie Ransomware ein nettes rotes Pop-Up an und macht sich so bemerkbar. Verhält sich das System also nicht komisch, gibt es meistens keinen Grund das System neu zu starten
  Fileless Malware bedeutet ganz klar nicht, dass der Threat nicht persistent ist. Bereits 2014 wurde mit Poweliks eine Fileless Malware entdeckt, die via API-Call einen NULL-Autostart-Eintrag in die Registry schrieb. Mittlerweile sehe ich persönlich selten Fileless Malware, die nicht persistent ist
  Fileless Malware beschreibt also erst einmal nur die Form einer Schadsoftware und nicht deren Auswirkung. Diese können von Ransomware bis Coinminer alles sein.
  Wie bereits beschrieben, unterscheiden sich verschiedene Fileless Malware Familien am Ende deutlich voneinander. Aus diesem Grund behandele ich heute ein prominentes Beispiel names Kovter. Die Malware Kovter hat während ihres Lifecycles verschiedene Veränderungen aufgezeigt. Am Anfang wurde Kovter oftmals zusammen mit illegalen Downloads Copyright geschützter Inhalte ausgeliefert. Es handelte sich also um eine typische „Polizei Malware“, die den Kunden auf den Besitz Copyright geschützter Inhalte aufmerksam machte und die Zahlung einer Strafe verlangte. Kovter war damals nicht sonderlich effektiv und konnte relativ einfach vom System entfernt werden.
  In der nächsten Entwicklungsstufe nutzte Kovter Code-Injection um das Ziel zu infizieren und anschließend alle Arten von Inhalten sowie Informationen des Endpunkts durch Kommunikation mit C&C Servern zu stehlen.
  Anschließend dauerte vermutlich bis ins Jahr 2015, dass Kovter die Wandlung in eine Fileless Malware schaffte. Dies gelang zuerst durch die Installation von Autorun Registry Einträgen, 2016 wurden dann die ersten Varianten in freier Wildbahn entdeckt, die durch Shell Spawning erweitert wurden.