Grenzen der statischen Triage

Keine Ausführung

Die Datei wird nie gestartet. Viele Schadprogramme zeigen ihr eigentliches Verhalten aber erst zur Laufzeit, etwa wenn sie weitere Teile aus dem Internet nachladen.

Kein Entpacken

Gepackte oder verschlüsselte Programme verbergen ihren Inhalt. Die statische Analyse sieht dann nur die äußere Hülle und findet entsprechend wenig.

Fehlende Befunde bedeuten nicht „harmlos“

Wenn das Werkzeug nichts Auffälliges meldet, heißt das nur, dass die geprüften Merkmale unauffällig waren. Umgekehrt ist ein Befund kein Beweis für Schadsoftware, viele Merkmale kommen auch in legitimer Software vor.

Signaturen werden nicht geprüft

Das Werkzeug kann erkennen, ob eine digitale Signatur vorhanden ist, prüft aber nicht, ob sie gültig oder vertrauenswürdig ist.

Im Verdachtsfall

Wenn du vermutest, dass ein System bereits betroffen ist, binde deine IT-Abteilung oder einen spezialisierten Incident-Response-Dienstleister ein. Trenne das betroffene Gerät im Zweifel vom Netzwerk, aber schalte es nicht einfach aus, damit Spuren im Arbeitsspeicher erhalten bleiben.

Zurück zum Werkzeug.