Eine Infektionskette zeigt, in welchen Stufen ein Angriff mit Schadsoftware abl\u00e4uft, vom ersten Kontakt \u00fcber das m\u00f6gliche Nachladen weiterer Schadprogramme bis zur Schadwirkung. In der Medizin bezeichnet der Begriff Infektionskette dagegen den Weg der \u00dcbertragung eines Pathogens von einem Wirt auf einen anderen. Bei der Cuba-Ransomware kann die Infektionskette je nach Ziel oder Kampagne variieren<\/strong>. Beim Loader SquirrelWaffle kann die Kette mit einem Angriff \u00fcber eine bestehende E-Mail-Antwortkette beginnen: Der Angreifer schreibt aus dem gekaperten Konto eines Beteiligten, statt eine fremde Adresse zu f\u00e4lschen. Bei Emotet-Kampagnen enthielten Phishing-E-Mails entweder ein sch\u00e4dliches Office-Dokument<\/strong> als Dateianhang oder einen Link, der zum Download eines solchen Dokuments f\u00fchrte; \u00fcber die enthaltenen Makros wurden die Opfersysteme infiziert.<\/p>\n Eine Infektionskette kann bei einem Versicherer mit einer Phishing-E-Mail beginnen, gefolgt von einem Loader, der die eigentliche Malware nachl\u00e4dt und ausf\u00fchrt; Sicherheitsteams k\u00f6nnen die Kette auf fr\u00fchen Stufen unterbrechen<\/strong>. Ein Angriff l\u00e4sst sich fr\u00fchzeitig stoppen, etwa durch das Blockieren einer Phishing-E-Mail oder das Patchen von Schwachstellen; das kann verhindern, dass er kritische Systeme erreicht. Nach dem Modell der Cyber Kill Chain kann die Unterbrechung einer einzelnen Stufe Sicherheitsteams helfen, Angreifer daran zu hindern, ihre Ziele zu erreichen.<\/p>\n Eine Infektionskette l\u00e4uft in Stufen ab: Eine Zustellung, etwa per Phishing-E-Mail, bringt eine erste Komponente auf das System, die etwa als Loader weitere Schadprogramme nachladen und starten kann. Bei SquirrelWaffle kann die erste Zustellung \u00fcber eine Phishing-E-Mail mit einem Word- oder Excel-Anhang oder einem Link zu einem zip-komprimierten Dokument erfolgen. Diese Dokumente enthalten VBS-Makros, die PowerShell ausf\u00fchren<\/strong>, um den Loader abzurufen und zu starten. Selbst innerhalb derselben Infektionskette legte die Schadsoftware jeweils einzigartige Payloads ab, und die Dateipfadmuster entwickelten sich weiter.<\/p>\n Laut MITRE ATT&CK ist Emotet eine modulare Schadsoftware, die haupts\u00e4chlich als Downloader f\u00fcr andere Schadprogramme<\/strong> wie TrickBot und IcedID eingesetzt wird. \u00dcber Makrofunktionen lud Emotet weitere Module nach, die den Rechner nachhaltig infizierten. Der Loader HijackLoader dient dazu, zus\u00e4tzliche Schadprogramme auf infizierten Rechnern nachzuladen, etwa Trojaner wie Danabot oder den RedLine-Stealer. Das BSI warnte, durch von Emotet nachgeladene Schadsoftware k\u00f6nnte es wieder zu Kompromittierungen von Netzwerken von Beh\u00f6rden und Unternehmen kommen, in denen die T\u00e4ter anschlie\u00dfend Ransomware zur Verschl\u00fcsselung von Daten ausrollen.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[393,396,400],"class_list":["post-33736","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-cybersecurity","glossary_intl_topic-angriffe-bedrohungen","glossary_intl_topic-malware-apt"],"acf":{"card_description":"Infektionskette: die Abfolge der Stufen, in denen ein Angriff mit Schadsoftware vom ersten Kontakt bis zur Schadwirkung verl\u00e4uft.","nav_theme":"Angriffe & Bedrohungen","nav_subtheme":"Malware & APT","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Infection Chain"}],"lead_definition":"Die Infektionskette bezeichnet in der IT-Sicherheit die mehrstufige Abfolge, in der Schadsoftware auf ein Zielsystem gelangt, ausgef\u00fchrt wird und gegebenenfalls weitere Schadprogramme nachl\u00e4dt, bis die eigentliche Schadwirkung auf dem Zielsystem eintritt.","at_a_glance":[{"bullet":"Der Anfang kann eine Phishing-E-Mail mit einem Office-Dokument oder einem Link sein."},{"bullet":"Ein Loader kann weitere Schadprogramme nachladen und ausf\u00fchren."},{"bullet":"Die Unterbrechung auf einer fr\u00fchen Stufe kann verhindern, dass der Angriff kritische Systeme erreicht."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"In dokumentierten F\u00e4llen folgte auf eine Emotet-Infektion der Trickbot-Sch\u00e4dling und danach der Verschl\u00fcsselungs-Trojaner Ryuk."},{"example":"Der Malware-Loader HijackLoader l\u00e4dt zus\u00e4tzliche Schadprogramme wie Danabot oder den RedLine-Stealer nach; die Verbreitung kann \u00fcber Phishing-E-Mails mit manipulierten Anh\u00e4ngen oder Downloads von infizierten Webseiten erfolgen."},{"example":"Wird eine Phishing-E-Mail blockiert oder eine Schwachstelle gepatcht, kann das verhindern, dass ein Angriff kritische Systeme erreicht."},{"example":"Bei einem Versicherer kann eine Phishing-E-Mail die erste Stufe sein, auf die ein Loader folgt, der die eigentliche Malware nachl\u00e4dt; Sicherheitsteams k\u00f6nnen die Kette fr\u00fch unterbrechen."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":[{"title":"Ausf\u00fchrung von Schadcode","inline_description":"Ausf\u00fchrung von Schadcode ist die Stufe, in der eingeschleuste Schadsoftware auf dem Zielsystem aktiv gestartet wird.","description":"Erst mit dem Start des Codes, etwa durch \u00d6ffnen einer Datei oder Ausnutzen einer Schwachstelle, entfaltet die Schadsoftware Wirkung. Vorher liegt sie lediglich auf dem System oder in einer Nachricht.","source":"","key":""},{"title":"Erstinfektion","inline_description":"Erstinfektion ist der erste erfolgreiche Befall eines Systems durch Schadsoftware innerhalb eines Angriffs.","description":"Sie bildet den Ausgangspunkt f\u00fcr alle weiteren Schritte wie Nachladen von Komponenten, Ausbreitung im Netzwerk oder Datenabfluss. Gemeint ist der Moment, in dem der Angreifer erstmals Fu\u00df fasst.","source":"","key":""},{"title":"Infektionsvektor","inline_description":"Infektionsvektor bezeichnet den Weg, \u00fcber den Schadsoftware erstmals auf ein Zielsystem gelangt.","description":"Typische Wege sind E-Mail-Anh\u00e4nge, manipulierte Webseiten, infizierte Datentr\u00e4ger oder ungepatchte Software. Der Vektor beschreibt den Zugang, nicht die Schadsoftware selbst und nicht die weiteren Stufen.","source":"","key":""},{"title":"Initiale Payload","inline_description":"Initiale Payload ist die erste Schadkomponente, die in einem Angriff auf das Zielsystem gebracht wird.","description":"Sie ist oft klein und unauff\u00e4llig gehalten und l\u00e4dt bei Bedarf weitere Module nach. Ihre Hauptaufgabe besteht darin, Fu\u00df zu fassen, nicht den eigentlichen Schaden anzurichten.","source":"","key":""},{"title":"Payload-Auslieferung","inline_description":"Payload-Auslieferung ist die \u00dcbermittlung der Schadkomponente an das Zielsystem oder den Zielnutzer.","description":"Sie umfasst die technische Zustellung, zum Beispiel per Anhang, Download oder Nachladen aus dem Netz. In Modellen zu Angriffsphasen bildet sie einen eigenen Schritt zwischen Vorbereitung und Ausnutzung.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[33703,33637,33704,33713],"pillar_link":null,"sources":[{"publisher":"","name":"SquirrelWaffle Malware: Infection Methods and Protection","url":"https:\/\/www.sentinelone.com\/blog\/is-squirrelwaffle-the-new-emotet-how-to-detect-the-latest-malspam-loader\/","doc_type":"2025","group":"used"},{"publisher":"","name":"Was ist die Cyber Kill Chain?","url":"https:\/\/www.trendmicro.com\/de_de\/what-is\/cyber-attack\/cyber-kill-chain.html","doc_type":"","group":"used"},{"publisher":"","name":"HijackLoader","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Cyber-Sicherheitslage\/Methoden-der-Cyber-Kriminalitaet\/Botnetze\/Steckbriefe-aktueller-Botnetze\/Steckbriefe\/HijackLoader\/hijackloader_node.html","doc_type":"2025","group":"used"},{"publisher":"","name":"Cuba unter der Lupe","url":"https:\/\/www.trendmicro.com\/de_de\/research\/23\/a\/cuba-unter-der-lupe.html","doc_type":"2023","group":"used"},{"publisher":"","name":"Bundesamt f\u00fcr Sicherheit in der Informationstechnik - Zunahme von erfolgreichen Cyber-Angriffen mit Emotet \u2013 BSI r\u00e4t zu Schutzma\u00dfnahmen","url":"https:\/\/www.bsi.bund.de\/DE\/Service-Navi\/Presse\/Pressemitteilungen\/Presse2019\/Emotet-Warnung_230919.html","doc_type":"2019","group":"used"},{"publisher":"","name":"Emotet, Software S0367 | MITRE ATT&CK\u00ae","url":"https:\/\/attack.mitre.org\/software\/S0367\/","doc_type":"2024","group":"used"},{"publisher":"","name":"Schutz vor Emotet: Besserer Umgang mit Doc-Dateien","url":"https:\/\/www.heise.de\/security\/meldung\/Schutz-vor-Emotet-Besserer-Umgang-mit-Doc-Dateien-4452870.html","doc_type":"2019","group":"used"},{"publisher":"","name":"Bundesamt f\u00fcr Sicherheit in der Informationstechnik - Erneuter Versand von Emotet-Spam","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Cybersicherheitswarnungen\/DE\/2021\/2021-269890-1032.html","doc_type":"2021","group":"used"},{"publisher":"","name":"Emotet \u2013 6 Sicherheitstipps","url":"https:\/\/www.welivesecurity.com\/deutsch\/2019\/09\/26\/emotet-6-sicherheitstipps\/","doc_type":"2019","group":"used"},{"publisher":"","name":"Trojaner-Alarm: BSI warnt vor zunehmenden Emotet-Angriffen","url":"https:\/\/www.heise.de\/security\/meldung\/Trojaner-Alarm-BSI-warnt-vor-zunehmenden-Emotet-Angriffen-4537594.html","doc_type":"2019","group":"used"},{"publisher":"","name":"Infektkette","url":"https:\/\/de.wikipedia.org\/wiki\/Infektionskette","doc_type":"2020","group":"further"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-10-07"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert Infektionskette?<\/h2>\n
Welche Anzeichen weisen auf eine Infektionskette hin?<\/h2>\n
\n\n
\n \nSignal<\/th>\n Woran erkennbar<\/th>\n<\/tr>\n<\/thead>\n \n Phishing-E-Mail mit Office-Dokument oder Link<\/td>\n Bei SquirrelWaffle kann die erste Zustellung \u00fcber eine Phishing-E-Mail mit einem Word- oder Excel-Anhang oder einem Link zu einem zip-komprimierten Dokument erfolgen.<\/td>\n<\/tr>\n \n Dokument fordert zur Aktivierung von Inhalten auf<\/td>\n Ein Dokument verlangt, Inhalte zu aktivieren, obwohl etwa eine Rechnung oder Bewerbung keine aktiven Inhalte (Makros) ben\u00f6tigt.<\/td>\n<\/tr>\n \n Makro startet PowerShell<\/td>\n Bei SquirrelWaffle enthalten die Dokumente VBS-Makros, die PowerShell ausf\u00fchren, um den Loader abzurufen und zu starten.<\/td>\n<\/tr>\n \n Weitere Schadprogramme auf dem Rechner<\/td>\n Auf infizierten Rechnern k\u00f6nnen zus\u00e4tzliche Schadprogramme wie Danabot oder der RedLine-Stealer auftauchen, die ein Loader wie HijackLoader nachgeladen hat.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n
Was tun im Ernstfall<\/h3>\n
\n