Human-Verified AI-Assisted Evidence Interpretation in Comparative Malware Analysis: WhiteSnake, Donex, and Emotet Samples

In der digitalen Welt agiert Schadsoftware wie ein lautloser Eindringling, der sich in Computer schleicht, um Geheimnisse zu stehlen, Dateien zu sperren oder Systeme für weitere Angriffe zu kapern. Um diese Eindringlinge zu stoppen, müssen Sicherheitsexperten genau verstehen, wie sie funktionieren. Dies erfordert einen sorgfältigen zweistufigen Prozess: erstens die Untersuchung des Codes, ohne ihn auszuführen, um zu sehen, welche Werkzeuge er mit sich führt, und zweitens das Beobachten dessen, was er tatsächlich tut, wenn er in einem sicheren, isolierten Raum laufen gelassen wird. Die Herausforderung besteht darin, zwischen dem zu unterscheiden, was eine Software basierend auf ihrem Code tun könnte, und dem, was sie während eines spezifischen Tests tatsächlich getan hat. Wenn ein Experte ein Schloss knackendes Werkzeug in der Tasche eines Verdächtigen sieht, weiß er, dass der Verdächtige die Fähigkeit besitzt, einzubrechen, aber er kann nicht sicher sein, ob ein Einbruch stattgefunden hat, sofern er nicht sieht, wie die Tür geöffnet wird. Diese Unterscheidung ist entscheidend für den Aufbau präziser Abwehrmechanismen, doch sie wird oft verschwommen, wenn Berichte potenzielle Fähigkeiten mit bestätigten Handlungen vermischen.

Ein Forscher ging kürzlich diesem Problem nach, indem er drei verschiedene Arten von Schadsoftware untersuchte: eine, die darauf ausgelegt war, Passwörter zu stehlen, eine, die darauf abzielte, Dateien für Lösegelder zu verschlüsseln, und eine, die als Loader fungiert, um andere Bedrohungen einzuschleusen. Er erstellte keine neuen Experimente von Grund auf neu; stattdessen untersuchte er ein detailliertes Projekt, das Studenten im Jahr 2025 abgeschlossen hatten. Der Forscher behandelte die ursprünglichen Protokolle, Screenshots und Daten der Studenten als ein historisches Archiv, das einer Prüfung unterzogen werden musste. Sein Ziel war es, eine neue Analysemethode anzuwenden, die menschliche Expertise mit künstlicher Intelligenz kombinierte, um die Beweise zu sortieren. Die KI fungierte als leistungsstarker Assistent, der tausende von Datenpunkten organisierte und mögliche Interpretationen vorschlug, aber sie traf niemals die endgültige Entscheidung. Jede Schlussfolgerung wurde von einem menschlichen Analysten überprüft und verifiziert, um sicherzustellen, dass kein Vermuten mit einer Tatsache verwechselt wurde.

Das erste Exemplar, bekannt als WhiteSnake, war ein Programm, das mit einer spezifischen Technologie gebaut wurde, die es ermöglichte, auf vielen verschiedenen Computersystemen zu laufen. Als der Forscher dessen Code untersuchte, stellte er fest, dass dieser stark verschleiert war – eine Technik namens Obfuskation, die die Anweisungen schwer lesbar macht. Vor allem enthielt der Code eine lange Liste von Begriffen im Zusammenhang mit virtuellen Maschinen und Sandbox-Umgebungen, wie etwa „vmware“ und „vbox“. Dies deutete darauf hin, dass das Programm darauf ausgelegt war, zu prüfen, ob es in einem sicheren Testraum ausgeführt wird, und sich selbst zu stoppen, falls es eine solche Umgebung detektierte. Als das Programm im isolierten Labor ausgeführt wurde, versuchte es, über das Netzwerk Kontakt aufzunehmen, insbesondere suchte es nach einer Verbindung zu einem Messaging-Dienst. Da das Labor jedoch vom echten Internet abgeschnitten war, schlug die Verbindung fehl. Der Forscher konnte den Versuch sehen, konnte aber nicht bestätigen, dass das Programm erfolgreich Passwörter gestohlen oder Daten an einen entfernten Server gesendet hatte. Die Beweise zeigten die Absicht zu stehlen, aber nicht den Akt des Diebstahls.

Das zweite Exemplar, Donex, schien ein Ransomware-Programm zu sein, das darauf ausgelegt war, die Dateien eines Nutzers zu sperren. Sein Code enthielt Verweise auf leistungsstarke Verschlüsselungswerkzeuge und Befehle, die einen Computer abschalten oder Systemprotokolle löschen könnten. Dies waren klare Indikatoren dafür, wozu das Programm gebaut war. Als der Forscher es jedoch ausführte, trat die erwartete Katastrophe nicht ein. Die Dateien auf dem Testcomputer wurden nicht verschlüsselt, es erschien keine Lösegeldforderung auf dem Bildschirm und das System startete nicht wie der Code suggerierte neu. Das Programm zeigte Anzeichen von Instabilität und verursachte einige lokale Netzwerkgeräusche, scheiterte jedoch bei seiner primären Funktion. Die Studie kam zu dem Schluss, dass Donex zwar die Werkzeuge besaß, um Schaden anzurichten, dies in diesem spezifischen Test jedoch nicht tatsächlich tat. Die Anwesenheit der Werkzeuge war real, aber der Schaden nicht.

Das dritte Exemplar, Emotet, kam in einer täuschenden Verpackung an: einer Datei, die wie ein Standard-Word-Dokument aussah, aber eine versteckte zweite Dateiendung besaß, um den Nutzer zu täuschen. Einmal geöffnet, versuchte es, eine bestimmte Adresse im Netzwerk zu kontaktieren. Im isolierten Labor löste diese Adresse eine lokale Maschine auf, und der Verbindungsversuch schlug fehl, wobei die Meldung zurückgegeben wurde, dass das Ziel nicht erreichbar sei. Das Programm bewegte sich so schnell, dass die Überwachungswerkzeuge keine stabile Aufzeichnung seiner Aktivitäten erfassen konnten. Es ist möglich, dass das Programm sich in einen anderen Prozess injizierte oder seine Aufgabe einfach beendete, bevor die Kameras fokussieren konnten, aber der Forscher konnte dies nicht beweisen. Er konnte lediglich bestätigen, dass das Programm versuchte, eine Verbindung aufzubauen, und aufgrund der Laborbedingungen scheiterte.

Ein wesentlicher Teil dieser Studie war die Art und Weise, wie der Forscher mit der künstlichen Intelligenz umging. Er nutzte die KI, um die ungeordneten Daten aus den drei Tests zu organisieren und mögliche Erklärungen für das, was er sah, vorzuschlagen. Die KI schlug vor, dass die Verhaltensweisen mit bekannten Taktiken von Cyberkriminellen übereinstimmten. Das Team aus Menschen überprüfte jedoch jeden einzelnen Vorschlag. Sie lehnten die Idee ab, dass die Programme erfolgreich Daten gestohlen oder Dateien verschlüsselt hatten, da die direkten Beweise fehlten. Sie lehnten auch die Idee ab, dass die Programme die Erkennung erfolgreich umgangen hatten, selbst wenn der Code dies nahelegte. Die KI lieferte eine Liste von Möglichkeiten, aber die menschlichen Analysten lieferten die Wahrheit basierend auf dem, was tatsächlich aufgezeichnet wurde.

Das Endergebnis dieser Arbeit ist eine klare, vorsichtige Karte dessen, was geschah. Der Forscher fand heraus, dass diese drei Programme die Fähigkeiten besaßen, Daten zu stehlen, Dateien zu verschlüsseln und ihre Spuren zu verwischen. Dennoch gelang es keines von ihnen unter den spezifischen Bedingungen dieses Tests, seine Hauptmission erfolgreich abzuschließen. Die Studie betont, dass das Sehen einer Fähigkeit im Code nicht dasselbe ist wie das Sehen einer Handlung in der realen Welt. Durch die Trennung dessen, was beobachtet wurde, von dem, was nur vermutet wurde, schuf das Team ein zuverlässigeres Bild der Bedrohung. Dieser Ansatz stellt sicher, dass Sicherheitsabwehren auf bestätigten Fakten aufgebaut werden statt auf Annahmen, wodurch eine Überschätzung der Gefahr verhindert wird, während das Potenzial für Schaden dennoch anerkannt wird. Die Arbeit dient als Erinnerung daran, dass im Kampf gegen digitale Bedrohungen Geduld und Verifizierung ebenso wichtig sind wie die Werkzeuge, die man nutzt, um den Feind aufzuspüren.