Darren Guccione, CEO und Mitbegründer von Keeper Security, erläutert, warum browserbasierte Malware herkömmliche dateibasierte Sicherheitsprüfungen umgehen kann. In seinem Gastkommentar zeigt er auf, weshalb Unternehmen den Fokus stärker auf das Verhalten ausführbarer Dateien, den Schutz privilegierter Zugriffe und die Absicherung von Anmeldedaten legen sollten.

Foto: Keeper Security Darren Guccione, CEO und Mitbegründer von Keeper Security Browserbasierte Angriffsmethoden entwickeln sich kontinuierlich weiter und stellen etablierte Sicherheitsmechanismen zunehmend vor Herausforderungen. Während viele Schutzmaßnahmen auf der Analyse von Dateien und bekannten Signaturen basieren, nutzen Angreifer neue Techniken, um Schadsoftware erst zur Laufzeit zusammenzusetzen und so herkömmliche Kontrollen zu umgehen. Darren Guccione erläutert in seinem Gastkommentar, welche Folgen diese Entwicklung für die IT-Sicherheit hat und welche Schutzmaßnahmen aus seiner Sicht an Bedeutung gewinnen.

Schadsoftware entsteht erst zur Laufzeit

„Die eigentliche Innovation von SourTrade liegt nicht im Köder, sondern im Erstellungsprozess. Indem die Angreifer Anweisungen anstatt einer fertigen Binärdatei versenden und die Schadsoftware innerhalb einer legitimen Laufzeitumgebung im Browser zusammenbauen, umgehen sie die meisten Sicherheitskontrollen, auf die sich Organisationen verlassen – darunter Hash-Abgleiche, statische Signaturen und netzwerkbasierte Dateiinspektionen.

Der Trick: Es passiert nichts Verdächtiges, bis die Schadsoftware bereits auf dem Endgerät läuft. Und selbst dann sieht Schadsoftware auf jedem Gerät etwas anders aus.

Sicherheitsstrategien müssen den Fokus verlagern

Eine Identifizierung von Schadsoftware, die auf Dateiuntersuchungen basiert, wird immer hinter den Angreifern zurückbleiben, da sie das Aussehen einer Datei verändern können.

Organisationen sollten ihren Fokus darauf verlagern, was eine unbekannte ausführbare Datei tun darf, anstatt darauf, wie sie aussieht.

Berechtigungsbeschränkungen auf Endgeräten, die das Schreiben nicht signierter oder unbekannter Binärdateien in sensible Pfade blockieren, das Erhöhen von Berechtigungen oder das Verhindern des Zugriffs auf Anmeldedaten, würden das Risiko dieser Angriffstechnik abschwächen, unabhängig davon wie die Schadsoftware zusammengesetzt wurde.

Schutz von Identitäten als zweite Verteidigungslinie

Diese Attacken wollen Anmeldedaten erbeuten und richtet sich gegen Händler und Krypto-Besitzer. Sitzungstokens, Wallet-Anmeldedaten und Börsen-Logins sind die eigentlichen Ziele. Dies bedeutet, dass privilegierter Zugriff und die sichere Speicherung von Anmeldedaten – nicht nur als Endgeräte-Hygiene – einen weiteren Meilenstein in der Verteidigung darstellen.

Organisationen, die Anmeldedaten sicher speichern und Sitzungskontrollen auf Identitätsebene durchsetzen, verfügen über eine doppelte Verteidigungslinie, die selbst dann noch wirksam ist, wenn ein Endgerät bereits kompromittiert wurde.“