Die Infektionskette bezeichnet in der IT-Sicherheit die mehrstufige Abfolge, in der Schadsoftware auf ein Zielsystem gelangt, ausgeführt wird und gegebenenfalls weitere Schadprogramme nachlädt, bis die eigentliche Schadwirkung auf dem Zielsystem eintritt.
Auf einen Blick
Der Anfang kann eine Phishing-E-Mail mit einem Office-Dokument oder einem Link sein.
Ein Loader kann weitere Schadprogramme nachladen und ausführen.
Die Unterbrechung auf einer frühen Stufe kann verhindern, dass der Angriff kritische Systeme erreicht.
Was ist Infektionskette?
Eine Infektionskette zeigt, in welchen Stufen ein Angriff mit Schadsoftware abläuft, vom ersten Kontakt über das mögliche Nachladen weiterer Schadprogramme bis zur Schadwirkung. In der Medizin bezeichnet der Begriff Infektionskette dagegen den Weg der Übertragung eines Pathogens von einem Wirt auf einen anderen. Bei der Cuba-Ransomware kann die Infektionskette je nach Ziel oder Kampagne variieren. Beim Loader SquirrelWaffle kann die Kette mit einem Angriff über eine bestehende E-Mail-Antwortkette beginnen: Der Angreifer schreibt aus dem gekaperten Konto eines Beteiligten, statt eine fremde Adresse zu fälschen. Bei Emotet-Kampagnen enthielten Phishing-E-Mails entweder ein schädliches Office-Dokument als Dateianhang oder einen Link, der zum Download eines solchen Dokuments führte; über die enthaltenen Makros wurden die Opfersysteme infiziert.
Eine Infektionskette kann bei einem Versicherer mit einer Phishing-E-Mail beginnen, gefolgt von einem Loader, der die eigentliche Malware nachlädt und ausführt; Sicherheitsteams können die Kette auf frühen Stufen unterbrechen. Ein Angriff lässt sich frühzeitig stoppen, etwa durch das Blockieren einer Phishing-E-Mail oder das Patchen von Schwachstellen; das kann verhindern, dass er kritische Systeme erreicht. Nach dem Modell der Cyber Kill Chain kann die Unterbrechung einer einzelnen Stufe Sicherheitsteams helfen, Angreifer daran zu hindern, ihre Ziele zu erreichen.
Wie funktioniert Infektionskette?
Eine Infektionskette läuft in Stufen ab: Eine Zustellung, etwa per Phishing-E-Mail, bringt eine erste Komponente auf das System, die etwa als Loader weitere Schadprogramme nachladen und starten kann. Bei SquirrelWaffle kann die erste Zustellung über eine Phishing-E-Mail mit einem Word- oder Excel-Anhang oder einem Link zu einem zip-komprimierten Dokument erfolgen. Diese Dokumente enthalten VBS-Makros, die PowerShell ausführen, um den Loader abzurufen und zu starten. Selbst innerhalb derselben Infektionskette legte die Schadsoftware jeweils einzigartige Payloads ab, und die Dateipfadmuster entwickelten sich weiter.
Laut MITRE ATT&CK ist Emotet eine modulare Schadsoftware, die hauptsächlich als Downloader für andere Schadprogramme wie TrickBot und IcedID eingesetzt wird. Über Makrofunktionen lud Emotet weitere Module nach, die den Rechner nachhaltig infizierten. Der Loader HijackLoader dient dazu, zusätzliche Schadprogramme auf infizierten Rechnern nachzuladen, etwa Trojaner wie Danabot oder den RedLine-Stealer. Das BSI warnte, durch von Emotet nachgeladene Schadsoftware könnte es wieder zu Kompromittierungen von Netzwerken von Behörden und Unternehmen kommen, in denen die Täter anschließend Ransomware zur Verschlüsselung von Daten ausrollen.
Welche Anzeichen weisen auf eine Infektionskette hin?
| Signal | Woran erkennbar |
|---|---|
| Phishing-E-Mail mit Office-Dokument oder Link | Bei SquirrelWaffle kann die erste Zustellung über eine Phishing-E-Mail mit einem Word- oder Excel-Anhang oder einem Link zu einem zip-komprimierten Dokument erfolgen. |
| Dokument fordert zur Aktivierung von Inhalten auf | Ein Dokument verlangt, Inhalte zu aktivieren, obwohl etwa eine Rechnung oder Bewerbung keine aktiven Inhalte (Makros) benötigt. |
| Makro startet PowerShell | Bei SquirrelWaffle enthalten die Dokumente VBS-Makros, die PowerShell ausführen, um den Loader abzurufen und zu starten. |
| Weitere Schadprogramme auf dem Rechner | Auf infizierten Rechnern können zusätzliche Schadprogramme wie Danabot oder der RedLine-Stealer auftauchen, die ein Loader wie HijackLoader nachgeladen hat. |
Schutz im Ernstfall
Vorbeugen
- Phishing-E-Mails blockieren und Schwachstellen patchen, um einen Angriff früh zu stoppen
- Unerwartete Anhänge und Links nicht öffnen, auch bei bekannten Absendern
- Makros aus E-Mail-Anhängen nicht aktivieren und Office-Dateien mit Makros bereits beim E-Mail-Empfang filtern
Was tun im Ernstfall
- Das betroffene System vom Netzwerk trennen und die darauf verwendeten Zugangsdaten sofort von einem nicht betroffenen Gerät aus ändern
- Den Vorfall der IT-Sicherheit melden, bevor selbst etwas bereinigt oder entfernt wird
- Das System durch die IT-Sicherheit analysieren und neu aufsetzen lassen, weil die Infektion mit weiterer Schadsoftware einhergehen kann
Beispiele aus der Praxis
- In dokumentierten Fällen folgte auf eine Emotet-Infektion der Trickbot-Schädling und danach der Verschlüsselungs-Trojaner Ryuk.
- Der Malware-Loader HijackLoader lädt zusätzliche Schadprogramme wie Danabot oder den RedLine-Stealer nach; die Verbreitung kann über Phishing-E-Mails mit manipulierten Anhängen oder Downloads von infizierten Webseiten erfolgen.
- Wird eine Phishing-E-Mail blockiert oder eine Schwachstelle gepatcht, kann das verhindern, dass ein Angriff kritische Systeme erreicht.
- Bei einem Versicherer kann eine Phishing-E-Mail die erste Stufe sein, auf die ein Loader folgt, der die eigentliche Malware nachlädt; Sicherheitsteams können die Kette früh unterbrechen.
Die Varianten im Detail (5)
Ausführung von Schadcode Ausführung von Schadcode ist die Stufe, in der eingeschleuste Schadsoftware auf dem Zielsystem aktiv gestartet wird.
Erst mit dem Start des Codes, etwa durch Öffnen einer Datei oder Ausnutzen einer Schwachstelle, entfaltet die Schadsoftware Wirkung. Vorher liegt sie lediglich auf dem System oder in einer Nachricht.
Erstinfektion Erstinfektion ist der erste erfolgreiche Befall eines Systems durch Schadsoftware innerhalb eines Angriffs.
Sie bildet den Ausgangspunkt für alle weiteren Schritte wie Nachladen von Komponenten, Ausbreitung im Netzwerk oder Datenabfluss. Gemeint ist der Moment, in dem der Angreifer erstmals Fuß fasst.
Infektionsvektor Infektionsvektor bezeichnet den Weg, über den Schadsoftware erstmals auf ein Zielsystem gelangt.
Typische Wege sind E-Mail-Anhänge, manipulierte Webseiten, infizierte Datenträger oder ungepatchte Software. Der Vektor beschreibt den Zugang, nicht die Schadsoftware selbst und nicht die weiteren Stufen.
Initiale Payload Initiale Payload ist die erste Schadkomponente, die in einem Angriff auf das Zielsystem gebracht wird.
Sie ist oft klein und unauffällig gehalten und lädt bei Bedarf weitere Module nach. Ihre Hauptaufgabe besteht darin, Fuß zu fassen, nicht den eigentlichen Schaden anzurichten.
Payload-Auslieferung Payload-Auslieferung ist die Übermittlung der Schadkomponente an das Zielsystem oder den Zielnutzer.
Sie umfasst die technische Zustellung, zum Beispiel per Anhang, Download oder Nachladen aus dem Netz. In Modellen zu Angriffsphasen bildet sie einen eigenen Schritt zwischen Vorbereitung und Ausnutzung.
