Verhaltensanalyse

Was ist Verhaltensanalyse? Wie funktioniert es?

Malware-Schutz ohne Signaturen?

Der Emsisoft Anti-Malware Hintergrundwächter überprüft, genauso wie jeder andere Antiviren-Wächter, alle gestarteten Programme mit dem Signaturen-Scanner. Der Scanner kann jedoch neue Malware nur dann erkennen, wenn er bereits eine Signatur für die Datei hat. Obwohl das Emsisoft Team stets bemüht ist, neue Malware-Signaturen so schnell wie möglich via Online-Update zu Ihrer Anti-Malware Installation zu bringen, vergeht wertvolle ungeschützte Zeit. Zeit zwischen dem ersten Auftreten eines neuen Wurms und dem Zeitpunkt des Anti-Malware Online-Updates auf Ihrem PC.

Aus diesem Grund wurde die Verhaltensanalyse entworfen. Sie fällt unter die Kategorie HIPS (Host based Intrusion Prevention System) und ist ein System, das in der Lage ist, auch ohne Signaturen, gefährliche Malware zu erkennen und zu blockieren. Die Verhaltensanalyse ist Bestandteil von Emsisoft Anti-Malware sowie von Mamutu.

Verhaltensanalyse

Anders als bei herkömmlichen Heuristiken, die die Dateien auf der Festplatte nach schädlichen Routinen durchsuchen und daraus eine Wahrscheinlichkeitsanalyse erstellen, ob eine Datei gefährlich ist oder nicht, überwacht die Verhaltensanalyse direkt das Verhalten der aktiven Programme im System.

Und so funktionierts:

Jeder Malware-Typ, egal ob Virus, Trojaner, Wurm, Dialer oder Spyware, arbeitet immer nach einem bestimmten Schema. Jeder Typ hat in seinen Eigenschaften Haupt-Ziele, die ihn eindeutig unterscheidbar machen. Ein Virus infiziert, ein Wurm verbreitet sich, ein Backdoor-Trojaner verschickt Daten, ein Dialer erstellt eine Wählverbindung, etc. Ein Beispiel: Trojaner unterscheiden sich immer nur in der Weise, WIE sie Daten verschicken. Das täuscht jedoch nicht darüber hinweg, dass sie alle zusammen eben Daten verschicken.

Genau hier setzt die Verhaltensanalyse an. Sie analysiert live das Verhalten aller aktiven Programme und schlägt Alarm, sobald ein Programm ein gefährliches Verhalten zeigt. Die Verhaltensanalyse enthält eine Art Echtzeit-Heuristik mit einer außerordentlich guten Erkennungsrate bei allen Malware-Typen, für die es trainiert wurde.

Wenn Sie jetzt denken, das klingt zu gut um wahr zu sein, liegen Sie richtig. Diese Technologie hat auch einen Nachteil. Verhaltensanalyse erkennt Malware am Verhalten, das Verhalten ist innerhalb eines Malware-Typs jedoch immer das gleiche. Daher kann die Verhaltensanalyse zwei unterschiedliche Schaddateien gleichen Typs nicht voneinander unterscheiden. Die Verhaltensanalyse kann Ihnen nicht sagen, ob der Wurm nun NetSky oder Bagle, oder ob der Trojaner Optix oder SubSeven heißt. Sie kann lediglich sagen, dass es sich um einen Wurm bzw. um einen Trojaner handelt. Das ist jedoch ein sehr geringer Preis, den man in Kauf nimmt, um diesen sehr mächtigen Schutz in Anspruch zu nehmen.

Was erkennt die Verhaltensanalyse?

Derzeit ist die Verhaltensanalyse für folgende Malware-Typen trainiert:

  • Email Würmer
  • Spyware/Adware
  • HiJacker
  • Backdoor Trojaner (Hintertüren)
  • Trojan Downloader mit Reversed Connection Logic
  • Dialer
  • Keylogger
  • Rootkits
  • Viren

Es ist außerdem in der Lage, folgende Aktionen anzuzeigen und zu unterbrechen:

  • Installation von neuen Treibern und Diensten
  • Jede Art von Prozess-Manipulation wie DLL-Injektion, Code-Injektion, Patchen, Terminieren, etc.
  • Installation von neuen BHOs (Browser Helper Objects)
  • Änderungen an den Internet Explorer Einstellungen
  • Unsichtbare Installationen von Software
  • Änderungen an der Hosts Datei (Umleitung von Domains)
  • Installationen von Debuggern im System

Wie verhalte ich mich bei einer Meldung?

Die Verhaltensanalyse ist ein System, das dazu entwickelt wurde, verdächtige Verhaltensweisen zu erkennen. Da sich das Verhalten von Programmen und Malware teilweise überschneidet, kann sich das System natürlich auch einmal irren. Daher sollte man zuerst alle Anzeichen in Betracht ziehen bevor man vorschnell handelt. Im Ausnahmefall ist es immer vorzuziehen, das Programm zu beenden und zur Analyse an uns zu übermitteln.

Lesen Sie mehr zu Emsisoft Anti-Malware Alarm Meldungen und wie man darauf am besten reagiert

Ein allgemeiner Tipp zur Nutzung der Verhaltensanalyse:

Nachdem Sie die Software installiert haben, stellen Sie bitte sicher, dass der Wächter aktiv ist und starten Sie dann Ihre meistgenutzten Programme um mögliche Fehl-Alarme gleich vorab abzufangen. Dieser Vorgang dauert wenige Minuten und die Verhaltensanalyse ist auf Ihren PC optimal eingestellt.

Wohin kann ich mich bei Fragen wenden?

Sollten Sie nicht sicher sein, ob ein bestimmtes Programm wirklich gefährlich ist, erhalten Sie im Diskussionsforum schnell Antworten von unseren Sicherheitsspezialisten.

Jetzt downloaden!

  • Downloaden Sie die kostenlose 30-Tage Testversion von Emsisoft Anti-Malware!
  • Bestellen Sie Emsisoft Anti-Malware jetzt! - € 30,- für Ihre Sicherheit

Testsieger!

Testsieg für Emsisoft Anti-Malware beim Antiviren-Vergleichstest von MRG - Malware Research Group - Jahrswertung Q1-Q3 2011
Mehr unabhängige Testberichte von Anti-Malware Software