Angreifer umgehen Microsoft Anti Malware Interface (AMSI) – Sophos erklärt wie

Sophos beschreibt in einem aktuellen Report, wie Angreifer beharrlich versuchen, Microsofts Antimalware Scan Interface (AMSI) zu umgehen und was dies für die IT-Security in Unternehmen bedeutet.

Der Report "AMSI Bypasses Remain Tricks of the Malware Trade" zeigt einige der gängigsten Tools und Techniken auf, mit denen Angreifer versuchen, AMSI zu umgehen.

Zur Liste gehören zum Beispiel das Aushebeln von Powershell-Scans, die Manipulation von Code in der AMSI-Bibliothek, gefälschte DLLs oder auch Versuche, AMSI mithilfe von älteren Skript-Engine-Versionen gänzlich zu umgehen.

In vielen der von Sophos untersuchten Fälle war der Eintrittspunkt für den Angriff ein ungeschützter Desktop oder Server, in anderen Fällen waren ungepatchte Schwachstellen – wie die im März in Exchange Servern entdeckte ProxyLogon-Schwachstelle – die Ursache für den Angriff.

Microsoft hat 2015 die Antimalware Scan Interface (AMSI)-Schnittstelle eingeführt, die es Anwendungen und Diensten – auch solchen von Drittanbietern – ermöglicht, verdächtigen Code zu erkennen, den Angreifer in den Speicher eines gehackten Computers zu laden versuchen. Wenn AMSI eine bekannte bösartige Signatur erkennt, soll das Skript blockiert werden.

"Trotz der Anstrengungen, die Microsoft in die Härtung von AMSI und den damit integrierten Komponenten betrieben hat, bleibt es ein Ziel der Malware-Entwickler, die Sicherheitsscans zu umgehen", sagt Sean Gallagher, Senior Threat Researcher bei Sophos. "Das liegt vor allem am Erfolg von Windows 10 und den Windows Server-Plattformen, die mit AMSI ausgestattet sind. Schätzungen gehen davon aus, dass derzeit etwa 78% aller Windows-PCs mit Windows 10 betrieben werden. Die Sorge besteht darin, dass Angreifer ihre Techniken fortlaufend an die Änderungen der Windows-Plattform anpassen und den Code stetig verändern und verschleiern, um signaturbasierte Erkennungen zu umgehen."

Den gesamten ausführlichen Report finden Sie hier: https://bit.ly/2SPI3Jq

Firmenkontakt und Herausgeber der Meldung:

Sophos Technology GmbH
Gustav-Stresemann-Ring 1
65189 Wiesbaden
Telefon: +49 (611) 5858-0
Telefax: +49 (611) 5858-1042
http://www.sophos.de

Ansprechpartner:
Ariane Wendt
Telefon: +1 (724) 536839
E-Mail: sophos@tc-communications.de
Thilo Christ
TC Communications
Telefon: +49 (8081) 954617
E-Mail: sophos@tc-communications.de
Arno Lücht
TC Communications
Telefon: +49 (8081) 954619
E-Mail: sophos@tc-communications.de
Ulrike Masztalerz
TC Communications
Telefon: +49 (30) 55248198
E-Mail: sophos@tc-communications.de
Jörg Schindler
PR Manager EMEA
Telefon: +49 (721) 25516-263
E-Mail: joerg.schindler@sophos.com
Für die oben stehende Pressemitteilung ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel