Trojanisches Pferd Crypt: Wie Malware in legitimen Dateien versteckt ist & wie Sie sicher bleiben

Was ist ein Trojanisches Pferd Crypt?

Ein Trojanisches Pferd Crypt (oder crypted Trojan) ist Malware, die in Verschlüsselung oder Obfuskation innerhalb einer scheinbar legitimen Datei eingewickelt ist. Wie der griechische Mythos, täuscht es Nutzer, indem es sie dazu bringt, „die Tore zu öffnen“, indem es etwas ausführt, das wie ein harmloses Dokument, Installer oder Mediendatei erscheint.

Wie die Angriffskette funktioniert

1. Waffenbeschaffung: Angreifer binden eine bösartige Nutzlast (RAT, Keylogger, Ransomware, Stealer) in eine harmlose Trägerdatei (PDF, .docx, .exe, .apk) ein.
2. Crypting: Die Nutzlast wird mit einem benutzerdefinierten oder kommerziellen Crypter (z. B. .NET Reactor, VMProtect, benutzerdefinierte XOR/AES-Routinen) verschlüsselt, um die signaturbasierte AV-Erkennung zu umgehen.
3. Zustellung: Phishing-E-Mails (Rechnung, Lebenslauf, Versandmitteilung), bösartige Anzeigen, kompromittierte Software-Downloads, gefälschte Updates.
4. Social Engineering: Dringlichkeit, Autoritätsnachahmung, Neugier oder Angst veranlassen den Nutzer, Warnungen zu umgehen und auszuführen.
5. Ausführung & Entschlüsselung: Beim Ausführen entschlüsselt der Stub die Nutzlast im Speicher (oft unter Verwendung von Process Hollowing, Reflective DLL Injection oder direkten Syscalls) und führt sie aus – mit minimalen Spuren auf der Festplatte.
6. Persistenz: Geplante Tasks, Run-Schlüssel, WMI-Ereignisabonnements, DLL-Side-Loading oder Kerneltreiber sorgen für Überleben über Neustarts hinweg.

Gängige bösartige Aktivitäten nach der Ausführung

• Anmeldeinformationen-Ernte (Browser-Passwörter, WLAN-Schlüssel, Krypto-Wallets)
• Keylogging & Bildschirmaufnahme
• Fernzugriff (RAT)
• Laterale Bewegung über SMB, RDP, Pass-the-Hash
• Ransomware-Bereitstellung oder Datenextraktion
• Cryptojacking (CPU/GPU-Mining)

Erkennungs- & Präventionsstrategien

Kernbotschaft: Kein einzelnes Tool stoppt alle crypted Trojans. Verteidigung in der Tiefe – Kombination aus Benutzerwachsamkeit, technischen Kontrollen und schneller Erkennung/Reaktion – ist unerlässlich.