Verwendung von Autoruns zum Erkennen und Entfernen von Malware unter Windows

Bedrohungserkennung

Illustration der Verwendung von Autoruns

Wenn Sie wissen, wie man Autoruns (AutoAusführen) verwendet, können Sie möglicherweise erkennen, ob Ihr PC zu Hause mit unerwünschter Software infiziert ist.

Hinweis: Dieser Artikel soll veranschaulichen, wie Malware auf einem privaten Laptop oder PC erkannt werden kann. Zur Erkennung und Beseitigung von Malware innerhalb einer Organisation sollte Ihr Vorfallsreaktionsplan befolgt werden.

Was ist Autoruns?

Autoruns ist ein Microsoft-Tool, das Software erkennt, die so konfiguriert ist, dass sie ausgeführt wird, wenn ein Gerät gebootet wird oder ein Benutzer sich in seinem Konto anmeldet. Beim Einschalten eines Gerätes wird oft legitime Software gestartet – Outlook ist ein geläufiges Beispiel, da Benutzer oft zuallererst ihre E-Mails abrufen, wenn sie sich bei ihrem Gerät anmelden.

Wenn ein Gerät kompromittiert wurde, muss jegliche installierte Malware auch einen Neustart überstehen können. Sobald ein Gerät ausgeschaltet wird, benötigt die Malware einen Mechanismus, um auf dem Gerät weiter ausgeführt zu werden. Dazu kann die Malware viele legitime Windows-Funktionen nutzen, mit denen sie beim Hochfahren des Systems gestartet werden kann.

Autoruns: Die Grundlagen

In der folgenden Abbildung können Sie erkennen, dass Autoruns aus mehreren Registerkarten besteht, die jeweils Daten zu einem Autostart-Mechanismus enthalten.

Auf der Registerkarte Logon werden Informationen zu den Standard-Startverzeichnissen für alle Benutzer des Geräts angezeigt. Dazu gehören Programmstartverzeichnisse sowie relevante Ausführungsschlüssel. Ein Ausführungsschlüssel ist Teil der Registrierung des Geräts – Malware-Anwendungen erstellen oft einen Ausführungsschlüssel, damit die Malware beim Hochfahren des Geräts automatisch gestartet wird.

Auf der Registerkarte Explorer werden Informationen zu den folgenden Elementen angezeigt:

  • Shell extensions – Hierbei handelt es sich um individuelle Plugins für den Windows Explorer, z. B. zur Vorschauanzeige von PDF-Dateien.
  • Browser Helper Objects – DLL-Module, die als Plugins für den Internet Explorer fungieren.
  • Explorer Toolbars – Das sind Plugins von Drittanbietern für den Internet Explorer. Die Symbolleiste ermöglicht Ihnen den Zugriff auf die Plattform des Drittanbieters.
  • Active Setup Executions – Ein Mechanismus zur einmaligen Ausführung von Befehlen je Benutzer während der Anmeldung.

explorer

Auf der Registerkarte Internet Explorer werden Browserhilfsobjekte, Internet-Explorer-Symbolleisten und Erweiterungen angezeigt.

internet explorer

Scheduled Tasks zeigt Aufgaben an, die so konfiguriert sind, dass sie beim Systemstart oder bei der Anmeldung beginnen. Diese gängige Technik wird von verschiedenen Malware-Familien verwendet.

scheduled tasks

Auf der Registerkarte Services werden alle Windows-Dienste angezeigt, die beim Hochfahren eines Geräts automatisch ausgeführt werden.

Dienste

Drivers ermöglichen Hardware-Geräten die Kommunikation mit dem Betriebssystem des Geräts. Die Registerkarte „Drivers“ (Treiber) in Autoruns zeigt alle registrierten Treiber auf dem Gerät an, mit Ausnahme der deaktivierten Treiber.

drivers

Image Hijacks sind relativ hinterhältig, da die Windows-Registrierung einen Schlüssel zum Starten eines bestimmten Prozesses enthält, stattdessen aber zum Starten eines anderen bösartigen Prozesses umgeleitet wird.

image hijacks

AppInit DLLs zeigt DLLs an, die als Anwendungsinitialisierungs-DLLs registriert sind.

Auf der Registerkarte Boot Execute werden Startverzeichnisse angezeigt, die mit dem Sitzungsmanager-Subsystem (smss.exe) verbunden sind.

Known DLLs in Windows sind kernel32.dll und ntdll.dll. Darüber kann Software bestimmte Funktionen importieren. Einige Malware-Anwendungen installieren bösartige DLLs, die von einem Malware-Autor erstellt wurden. Diese können sich an Orten befinden, an denen man keine legitimen Windows-DLLs erwarten würde, z. B. in Verzeichnissen für temporäre Dateien.

Winlogon wird verwendet, wenn sich ein Benutzer an einem Windows-Gerät anmeldet. Auf dieser Registerkarte werden DLLs angezeigt, die für Benachrichtigungen über Winlogon-Ereignisse registriert werden.

Die Registerkarte Winsock Providers zeigt registrierte Winsock-Protokolle an. Mit Winsock bzw. Windows Sockets können Programme eine Verbindung zum Internet herstellen. Malware kann sich selbst als Winsock-Anbieter installieren, da solche Anwendungen oft schwer zu entfernen sind. Autoruns kann sie deaktivieren, aber nicht löschen.

winsock

Print Monitors zeigt DLLs an, die in den Druckspooling-Dienst geladen werden. Malware-Anwendungen können diesen Mechanismus durch Installation einer bösartigen DLL ausnutzen.

Anbieter für Windows Local Security – (LSA) Providers – unterstützen Prozesse, die mit Sicherheit und Authentifizierung zusammenhängen.

Verwendung von Autoruns zur Erkennung verdächtiger Software

Jetzt haben wir ein gutes Verständnis davon, was Autoruns erkennen kann, allerdings enthalten die Screenshots, die wir bisher gesehen haben, nur Einträge für legitime Software. Woher wissen wir, ob es sich bei einem in Autoruns aufgeführten Programm um vertrauenswürdige Software handelt oder um etwas, das weiter untersucht werden sollte, beispielsweise Malware?

logon infiziert

In der Abbildung oben sehen Sie, dass unter der rot markierten Registerkarte „Logon“ ein Ausführungsschlüssel für eine Datei namens „ARP Service“ erstellt wurde, die sich an folgender Stelle in der Registrierung befindet:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

Dies ist ein gängiger Persistenzmechanismus, den Malware verwendet, um einen Neustart zu überleben. Wir können auch sehen, dass unter den Spalten „Description“ und „Publisher“ diese Felder leer sind. Die fehlende Beschreibung bedeutet zwar nicht, dass die Datei bösartig ist. Dennoch sollte man sie definitiv untersuchen, da sie weder über eine Beschreibung noch über einen Herausgeber verfügt.

Anhand der Spalte „Image Path“ können wir sehen, wo die Software installiert ist. In diesem Fall befindet sich die Datei unter „program files\arp service\arpsv.exe“.

Eine schnelle Suche in Google zeigt nur zwei Ergebnisse für diesen Dateipfad, die nicht gerade darauf hindeuten, dass es sich um legitime Software handelt.

Google

Unter der Registerkarte „Scheduled Tasks“ sehen wir auch zwei Einträge, die sich auf die von uns identifizierte ARP-Service-Software beziehen.

Wenn Sie mit der rechten Maustaste auf eine Datei klicken, für die Sie sich interessieren, können wir diese an die Website virustotal.com schicken. Virustotal ist eine Malware-Datenbank, die angibt, ob eine Datei von mehreren Antiviren-Anbietern als bösartig erkannt wird.

virus total überprüfung

Sobald die Datei abgeschickt wurde, zeigt die Spalte „Virus Total“ an, wie viele Virenschutzanbieter die Datei als böswillig einstufen. In der Abbildung unten sehen wir, dass 55 von 76 Anbietern eine Signatur haben, die diese Datei als böswillig erkennt.

scheduled tasks überprüfung virus total

Wenn Sie versuchen, Malware mit Autoruns zu identifizieren, sollten Sie einige wichtige Hinweise beachten:

  • Google ist Ihr bester Freund! Wenn Sie sich nicht sicher sind, suchen Sie nach dem Dateinamen und dem Speicherort. Fragen Sie sich: Handelt es sich um eine anerkannte Software und wird sie im zu erwartenden Verzeichnis ausgeführt?
  • Überprüfen Sie die Beschreibung auf verräterische Anzeichen, beispielsweise falsche Grammatik oder scheinbar zufällig generierte Beschreibungen – das alles könnte darauf hindeuten, dass Autoruns Software gefunden hat, die Sie sich genauer ansehen sollten.
  • Suchen Sie nach temporären Verzeichnissen. Malware installiert sich oft in temporären Verzeichnissen im Dateisystem. Wenn eine Anwendung so eingestellt ist, dass sie beim Hochfahren eines Geräts gestartet wird, warum befindet sie sich dann in einem temporären Verzeichnis?
  • Hashen Sie die Datei und schauen Sie auf virustotal.com nach. Wenn Malware mit Admin-Rechten installiert wurde, kann sie überall auf der Festplatte gespeichert sein. Überprüfen Sie mit virustotal, ob eine Datei bösartig ist.

Verwendung von Autoruns zum Entfernen von Malware

Schauen Sie zuerst nach, ob die Malware auf Ihrem Gerät ausgeführt wird, indem Sie den Task-Manager öffnen. Ich empfehle jedoch, Process Hacker zu verwenden – eines meiner bevorzugten Tools für die Analyse von Malware. Klicken Sie, sobald Sie es heruntergeladen haben, mit der rechten Maustaste auf das Symbol auf dem Desktop und wählen Sie „Als Administrator ausführen“ aus.

Process Hacker

Sobald Process Hacker offen ist, können wir die Malware finden, die auf dem Gerät ausgeführt wird.

Process Hacker

Wenn Sie mit der rechten Maustaste auf die Malware klicken, können Sie die Datei auf der Festplatte finden, indem Sie auf „Open file location“ klicken.

Process Hacker

Daraufhin wird der Dateipfad im Windows Explorer geöffnet.

dateispeicherort öffnen

Indem Sie die Datei per Drag-and-Drop in ein Tool wie PeStudio ziehen, können Sie den Hash der Datei ermitteln.

Bf48a5558c8d2b44a37e66390494d08e

Wenn Sie nun zu virustotal navigieren und den Hash in die Suche eingeben, sehen Sie, dass es sich um einen RAT (Remote Access Trojan) mit dem Namen „Nanocore“ handelt.

virus total

Damit diese Malware nicht weiter ausgeführt wird, klicken Sie mit der rechten Maustaste auf den Prozessnamen und gehen Sie auf „Terminate“.

Process Hacker

Bestätigen Sie anschließend, dass Sie den Prozess beenden möchten, indem Sie auf „Terminate“ klicken.

terminate

In Autoruns können dann die Persistenzmechanismen, die zum Starten der Malware verwendet wurden, durch Rechtsklick und „Delete“ gelöscht werden.

Löschen

Bestätigen Sie die Löschung, indem Sie auf „Yes“ klicken. Wiederholen Sie diesen Vorgang für alle weiteren Persistenzmechanismen, die identifiziert wurden.

löschung bestätigen

Die Malware kann jetzt aus dem Windows Explorer gelöscht werden.

Tipps zur Verwendung von Sysinternals-Autoruns

Ich rate stark davon ab, Autoruns als einziges Mittel zur Erkennung und Entfernung bösartiger Software zu verwenden. Wenn Sie mithilfe dieser Methoden eine Malware-Anwendung erkannt und entfernt haben, sollten Sie die folgenden Punkte bedenken:

Haben Sie Backups Ihrer Dateien und Daten? Wenn ein Gerät kompromittiert wurde, befindet sich mit hoher Wahrscheinlichkeit weitere Malware auf dem Gerät. Wenn Sie über Backups verfügen, kann Ihr Gerät wiederhergestellt werden – und Sie können sich sicher sein, dass die Gefahr vollständig beseitigt wurde.

Welche Antiviren-Software nutzen Sie (falls Sie überhaupt welche nutzen)? Wenn Sie Antiviren-Software installiert haben und trotzdem infiziert wurden, dann haben Ihre Sicherheitskontrollen versagt. Das ist ein guter Zeitpunkt, um zu überlegen, ob Sie nicht möglicherweise in eine Lösung investieren sollten, die Ihre Daten sicher schützt.

Nutzen Sie die Vergleichsfunktion von Autoruns, um auf einfache Weise nach unerwünschter Software zu suchen, die sich weiterhin auf Ihrem Gerät befindet. Das können Sie tun, indem Sie Autoruns auf einem sauberen Gerät ausführen, dann auf „File“ und anschließend auf „Save“ gehen.

Speichern

Die Ausgabe wird nun als „AutoRuns Data“-Datei mit der Erweiterung „.arn“ Autoruns gespeichert. Im folgenden Beispiel habe ich die Ausgabe als „clean“ gespeichert.

clean speichern

Sie können diese Ausgabe jetzt mit allen künftigen Scans vergleichen, die Sie mit Autoruns ausführen. Wählen Sie dazu „File“ und dann „Compare“ aus.
vergleichen

Im folgenden Beispiel wähle ich die Ausgabe aus, die ich „Clean“ genannt habe.

vergleichen clean

Autoruns zeigt dann nur neue Software an, die einen Persistenzmechanismus erstellt hat. Das ist praktisch, um legitime Software aus einer Neuinstallation herauszufiltern.

saubere installation vergleichen

Ich verwende Autoruns hauptsächlich für die Malware-Analyse. In diesem Artikel haben wir jedoch gezeigt, wie es mehrere Mechanismen erkennen kann, mit denen sich bösartige Software auf Ihrem Gerät einnistet.

Was mir an Autoruns auch sehr gut gefällt, ist der Preis! Es gibt eine Fülle von kostenlosen Tools, die Ihnen nicht nur bei der Malware-Analyse, sondern auch als Sysadmin helfen können. Schauen Sie sich daher unbedingt diesen Artikel über 21 kostenlose Tools, die jeder Sysadmin kennen sollte an.

Wenn die Gefahr besteht, dass Malware in Ihrem Unternehmen unentdeckt bleibt, dann gehen Sie auf die Varonis-Website und schauen Sie sich an, wie wir live einen Angriff aufhalten. Ebenso können Sie sich eine Demo unserer Bedrohungserkennung und -bekämpfung ansehen.

Neil Fox

Neil Fox

Neil ist ein Cybersicherheitsexperte, der sich auf Vorfallsreaktion und Malware-Analyse spezialisiert hat. Außerdem erstellt er Content zum Thema Cybersicherheit für seinen YouTube-Kanal und seinen Blog unter 0xf0x.com.

 

Möchten Sie Varonis in Aktion erleben?

Vereinbaren Sie eine Demo oder wenden Sie sich an unseren Vertrieb unter +49 89 3803 7990