3. Analyse von Schadprogrammen

APT-Gruppen sind vor allem für ihre oft professionell entwickelten Schadprogramme bekannt. Diese spielen bei Angriffen in der Tat eine zentrale Rolle. Allerdings bergen sie auch eine Fülle von Informationen, die für die einzelnen Schritte der Attribution hilfreich sind. In diesem Kapitel wird daher betrachtet, wie Schadprogramme entwickelt und eingesetzt werden, und wie Analysten darin Hinweise auf die Täter finden. Der erste Abschnitt behandelt die Täterperspektive und stellt dessen Arbeitsumgebung und Abwägungen dar. Es wird dargestellt, welche Schadprogramme ein Angreifer für welchen Zweck benötigt und welche Auswahl und Entscheidungen er treffen kann. Soll er beispielsweise den Aufwand investieren, ein eigenes Framework zu entwickeln? Oder greift er stattdessen auf öffentlich verfügbare Werkzeuge zurück? Der Rest des Kapitels behandelt die Arbeit der Analysten. Ihre Datenquellen werden vorgestellt und diskutiert. Welchen Einfluss auf die Ergebnisse hat es, ob Schadprogramme aus öffentlichen Datenbanken wie VirusTotal, aus eigenen Telemetrie-Daten oder aus Einsätzen vor Ort untersucht werden? Die Spuren werden in Hinweise aus der Entwicklungsumgebung und aus funktionalen Aspekten untergliedert. An Beispielen werden unter anderem Sprachressourcen, Zeitstempel, Debug-Informationen, Krypto-Implementierungen und Code-Ähnlichkeiten behandelt.