> For the complete documentation index, see [llms.txt](https://wiki.lucysecurity.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.lucysecurity.com/lucy-wiki-de/anleitungen/angriffssimulationen/angriffstypen/technischer-malware-test/malware-toolkit-test-suite.md). # Malware-Toolkit-Test-Suite ## Zugriff auf die Befehlszeile Alle im benutzerdefinierten Malware-Test geprüften Tools sind eigens entwickelt und nutzen Windows-Funktionen (keine Exploits), um auf Daten im geschützten Netzwerk zuzugreifen, wodurch sie schwerer zu erkennen sind. Sie sind jedoch nicht dafür ausgelegt, ihre schädliche Funktionalität zu verbergen (z. B. senden sie Daten in regelmäßigen Abständen über lange Base64-Zeichenfolgen an einen Server zurück). Dieses Tool ermöglicht die Ausführung fest kodierter Befehle. Das Toolkit prüft, ob ein externes Programm die Shell starten und Befehle ausführen kann. ## Zugriff auf zuletzt verwendete Dokumente Wenn Malware auf den Pfad der zuletzt verwendeten Dokumente zugreifen kann, kann sie viel darüber erfahren, welche Dateien kürzlich verwendet wurden und wo sie gespeichert sind. Das Tool kann zwischengespeicherte Benutzeranmeldeinformationen verwenden, um auf die letzten Dokumente zuzugreifen (entweder lokal oder auf einem freigegebenen Laufwerk). Dieses Tool liest die absoluten Pfade aus dem Verzeichnis der zuletzt verwendeten Dokumente und versucht, auf sie zuzugreifen. ## Outlook-Zugriff Ein externes Tool kann die Sicherheitswarnung in Outlook überschreiben und so Zugriff auf alle E-Mails erhalten oder sogar über Exchange im Namen des kompromittierten Benutzers E-Mails senden. Dieses Tool verwendet Outlook MAPI, um die Sicherheitsmeldung zu überschreiben, und versucht, auf die letzte Nachricht im Posteingang zuzugreifen. ## Bildschirmfotos Malware, die Bildschirmfotos erstellen kann, könnte Aktivitäten auf dem Bildschirm aufzeichnen, z. B. Passwörter, die über eine Bildschirmtastatur eingegeben werden. Dieses Tool versucht, Bildschirmfotos des aktuellen Desktops zu erstellen. ## Webcam-Zugriff Malware, die mit der Webcam Bilder aufnehmen kann, kann dazu verwendet werden, Benutzer auszuspionieren oder zu erpressen. Dieses Tool versucht, ein Bild mit der Webcam aufzunehmen. ## Mikrofonzugriff Malware kann sich in Computersysteme einbetten, ohne von herkömmlichen Antivirenprogrammen erkannt zu werden, und eine vollständige Überwachung durchführen, einschließlich dem Einschalten von Kamera und Mikrofon, dem Kopieren von Daten sowie dem Aufzeichnen von E-Mails und Chat-Unterhaltungen. Das Toolkit prüft, ob eine Drittanwendung auf ein angeschlossenes oder eingebautes Mikrofon zugreifen und davon aufzeichnen kann. ## Internetzugriff über HTTP Malware könnte einen eigenen benutzerdefinierten Webbrowser einbetten. Das Toolkit prüft, ob Malware sich über ihre eigene HTTP-Klasse mit dem Internet verbinden kann, wobei ein tragbares Tool mit integriertem benutzerdefiniertem Browser simuliert wird. ## Internetzugriff über Internet Explorer Inside-Out-Angriffe versuchen, Netzwerkverbindungen von einem vertrauenswürdigen (Unternehmens-)Netzwerk zu einem nicht vertrauenswürdigen (Internet-)Netzwerk zu initiieren. Der Inside-Out-Angriff besteht aus drei Schritten: Lieferung (die Hintertür ins Netzwerk bringen), Ausführung (die Hintertür durch den Benutzer ausführen) und Ausgabeübermittlung (die Daten nach außen senden). Das Toolkit prüft, ob Malware sich über HTTP mit Internet Explorer zurück ins Internet verbinden kann. ## HTTP-Zugriff mit IE-Proxy Malware könnte einen benutzerdefinierten Webbrowser integrieren und Proxy-Details aus der Registrierungsdatenbank lesen. Das Toolkit prüft, ob Malware sich mit den aktuellen Proxyeinstellungen über ihre eigene HTTP-Klasse zurück ins Internet verbinden kann. ## HTTP-Zugriff mit IE-Proxy mit Anmeldeinformationen Malware könnte ihren eigenen benutzerdefinierten Webbrowser einbetten, Proxy-Details aus der Registrierungsdatenbank lesen und auf gespeicherte Anmeldeinformationen zugreifen. Das Toolkit versucht, mit den auf dem System gespeicherten Standardanmeldeinformationen auf das Internet zuzugreifen, und simuliert Malware, die Sicherheitskontrollen wie die integrierte Windows-Authentifizierung auf einem Unternehmensproxy umgehen kann. ## HTTP-Zugriff mit Proxy aus Firefox-Einstellungen Wenn das Unternehmen Internet Explorer deaktiviert, könnte Malware versuchen, über Firefox auf das Internet zuzugreifen. Das Toolkit prüft, ob Malware sich über ihre eigene HTTP-Klasse mit den aktuellen Proxyeinstellungen verbinden kann, die über einen anderen Browser (Firefox) abgerufen werden. ## Internetzugriff über HTTPS Malware könnte ihre Aktivität durch die Verwendung einer verschlüsselten Verbindung verbergen. Das Toolkit prüft, ob Malware sich über HTTPS mit ihrer eigenen HTTP-Klasse zurück ins Internet verbinden kann, und simuliert dabei Malware mit integriertem benutzerdefiniertem Webbrowser. ## DNS-Tunneling Mit DNS-Tunneling kann Malware über HTTP auf einen entfernten Server zugreifen, selbst wenn der Proxy die Website blockiert. In einem DNS-Tunnel werden Daten in DNS-Anfragen und -Antworten eingebettet, wobei das DNS-Domänennamenauflösungssystem für die bidirektionale Datenübertragung genutzt wird. Das Toolkit prüft, ob es eine externe Drittanbieter-Domain direkt auf dem Client auflösen kann. ## Protokolltests ### ICMP ICMP-Tunneling schleust beliebige Daten in ein Echo-Paket ein, das an einen entfernten Computer gesendet wird, der darauf antwortet, indem er eine Antwort in ein anderes ICMP-Paket injiziert und es zurücksendet. Das Toolkit sendet verschiedene ICMP-Pakete mit zufälligen Daten und Größen an einen externen Host. ### SMTP SMTP ist ein gängiges Protokoll für die Verbreitung von Malware. Das Toolkit prüft, ob Malware sich direkt über ein Protokoll wie SMTP mit dem Internet verbinden kann. ### FTP FTP ist ein gängiges Protokoll, das von Malware verwendet wird, um gesammelte Daten zu exportieren. Das Toolkit prüft, ob Malware sich direkt über ein Protokoll wie FTP mit dem Internet verbinden kann. ### SSH Malware könnte über SSH eine ausgehende Verbindung herstellen, die nicht protokolliert werden kann. Das Toolkit prüft, ob Malware sich direkt über ein Protokoll wie SSH mit dem Internet verbinden kann. ### IRC Internet Relay Chat (IRC) ist ein Protokoll der Anwendungsschicht, das die Kommunikation über Text ermöglicht. Das Toolkit testet die Fähigkeit, sich mit einem externen IRC-Server und -Kanal zu verbinden, einige Nachrichten zu senden und sich nach einer kurzen Wartezeit wieder zu trennen. ## Betriebssystemversion Diese Prüfung dient ausschließlich zu Informationszwecken. In diesem Schritt versucht das Tool, das Host-Betriebssystem zu identifizieren. ## Lokale Administratoren Wenn ein Benutzer lokale Administratorrechte hat, kann er die Sicherheitsverbesserungen deaktivieren, die ihn schützen (z. B. Firewall, BitLocker, Antimalware). Diese Prüfung überprüft, ob auf dem PC Benutzer mit lokalen Adminrechten vorhanden sind. ## Firewall Wenn ein infizierter Laptop mit dem Netzwerk verbunden ist, kann er versuchen, alle anderen Geräte im LAN zu infizieren und dabei möglicherweise die Unternehmens-Firewall zu umgehen. Lokale Firewalls können ebenfalls die erfolgreiche Übertragung des Virus verhindern. Das Toolkit prüft, ob die Firewall läuft, und testet dann, ob sie deaktiviert werden kann. ## Antivirus Das Toolkit prüft, ob ein Antivirenprodukt läuft und ob es deaktiviert werden kann. ## Virus-Download [Simda](https://www.microsoft.com/en-us/wdsi/threats/threat-search?query=win32/simda) ist eine Malware-Familie mit mehreren Komponenten, zu der Trojaner-, Backdoor-, Kennwortdiebstahl-, Downloader- und Dateiinfektor-Varianten gehören. **Backdoor:Win32/Simda.A**: Diese Variante ermöglicht es einem entfernten Benutzer, eine Verbindung zu einem infizierten Rechner herzustellen und schädliche Aktionen auszuführen, z. B. Benutzeranmeldeinformationen zu stehlen und Bildschirmaufnahmen zu erfassen. Die Backdoor-Komponente legt eine bösartige DLL ab, die in Windows-Prozesse injiziert wird, um Benutzerinformationen zu sammeln, erkannt als **PWS/Simda.A**. Die Backdoor kann Schwachstellen ausnutzen, um erhöhte Rechte zu erlangen, wodurch sie restriktivere Aktionen ausführen kann, z. B. die Injektion in Windows-Prozesse. Sie kann sich auch Administratorrechte verschaffen, indem sie das Administratorpasswort per Wörterbuchangriff errät. Sobald Zugriff erlangt wurde, sammelt sie Benutzerinformationen, protokolliert Tastatureingaben und nimmt Bildschirmfotos auf. Die Backdoor verbindet sich mit ihrem Befehls- und Kontrollserver, um die Infektion zu melden und eine Konfigurationsdatei herunterzuladen. Sobald die Verbindung hergestellt ist, kann ein entfernter Angreifer die gestohlenen Informationen sammeln und zusätzliche Befehle ausführen. In dieser Prüfung testet das Toolkit, ob ein bekannt gefährlicher Virus namens Simda heruntergeladen werden kann. Wenn der Download erfolgreich ist, prüft das Toolkit, ob die heruntergeladene Datei im Ordner "Documents" abgelegt werden kann. ## Hosts-Datei Das Toolkit prüft, ob Schreibzugriff auf die Hosts-Datei gewährt wird. ## Neuen Benutzer hinzufügen Ein lokales Konto ist speziell für Ihren Computer und nicht in irgendeine der Online-Dienste von Microsoft integriert, ähnlich wie Konten in früheren Windows-Versionen. Wenn Malware Benutzer erstellen kann, könnte sie eine Hintertür im System einrichten und andere vorhandene Sicherheitsmechanismen umgehen. Das Toolkit versucht, lokale Benutzer hinzuzufügen. ## Patch-Stand Wenn ein Patch fehlt und ein Exploit existiert, kann das System leicht kompromittiert werden. Das Toolkit untersucht den Patch-Stand und vergleicht ihn mit aktuellen Exploits. Insbesondere sucht das Toolkit nach Privilegieneskalations-Exploits und deren jeweiligen KB-Patch-Nummern, wie etwa `KiTrap0D (KB979682)`, `MS11-011 (KB2393802)`, `MS10-059 (KB982799)`, `MS10-021 (KB979683)`, und `MS11-080 (KB2592799)`. ## Passwörter in Konfigurationsdateien In Umgebungen, in denen viele Maschinen installiert werden müssen, besuchen Techniker normalerweise nicht jede Maschine einzeln. Verschiedene Lösungen ermöglichen automatische Installationen, und diese Methoden hinterlassen oft Konfigurationsdateien, die im Installationsprozess verwendet werden. Diese Dateien können vertrauliche Informationen enthalten, wie z. B. den Produktschlüssel des Betriebssystems und das Administratorkennwort. ## Passwörter in Richtlinien GPO-Präferenzdateien können lokale Benutzer auf Domänenrechnern anlegen. Wenn ein kompromittierter Rechner mit einer Domäne verbunden ist, lohnt es sich, nach der `Groups.xml` Datei zu suchen, die in `SYSVOL` gespeichert ist, die jeder authentifizierte Benutzer lesen kann. Das Passwort in dieser XML-Datei ist für Gelegenheitsnutzer durch AES-Verschlüsselung „verschleiert“. Es ist jedoch nur scheinbar verschleiert, weil der statische Schlüssel auf der MSDN-Website veröffentlicht ist, was eine einfache Entschlüsselung ermöglicht. ## AlwaysInstallElevated Das Toolkit prüft die Registrierungseinstellung `AlwaysInstallElevated`. Wenn sie aktiviert ist, erlaubt diese Einstellung Benutzern jeder Berechtigungsstufe, `.msi` Dateien als `NT AUTHORITY\\SYSTEM`. Es ist eine Gruppenrichtlinieneinstellung für Windows Installer, die jedes Windows-Installer-Paket (.msi-Datei), das von einem Benutzer gestartet wird, unter dem Konto Local System ausführt. Dadurch können Benutzer die benötigten Anwendungen installieren, ohne ihnen Administratorrechte zu gewähren. ## Schreibzugriff Das Toolkit prüft, ob Malware Schreibzugriff auf wichtige Systemdateien hat. ## Autostart Das Toolkit prüft, ob wir eine ausführbare Datei im Autostart-Ordner platzieren können. ## AutoRun AutoRun ist eine Windows-Funktion, die Dateien automatisch ausführt, wenn ein USB-Laufwerk an einen Windows-Rechner angeschlossen wird. AutoRun wird häufig von Malware verwendet, um die eigene Ausführung direkt nach dem Einstecken eines USB-Laufwerks zu ermöglichen. Microsoft hat AutoRun für viele Dateitypen weitgehend deaktiviert, dennoch können einige Anwendungen (z. B. ein in Windows Explorer eingehängtes Disk-Image) AutoRun-Dateien möglicherweise weiterhin ausführen. Das Toolkit prüft, ob AutoRun Dateien von einem USB-Stick ausführen kann. ## Eingebundene Freigaben Wenn Computer über ein Netzwerk verbunden sind, erhalten Malware-Autoren einen Transportmechanismus, der die Möglichkeiten von Wechseldatenträgern zur Verbreitung schädlichen Codes übertreffen kann. Das Toolkit versucht, auf bekannte Freigaben zuzugreifen, um deren Zugriffssicherheit zu testen, und scannt in einem zweiten Schritt denselben Netzwerkbereich wie der Host, um zu prüfen, ob anonyme Benutzer auf Freigaben zugreifen können. ## Domänenfreigaben Ähnlich wie bei eingebundenen Freigaben können sich Angriffe mit verschiedenen Methoden über Computersysteme hinweg replizieren. Das Toolkit versucht, auf bekannte Freigaben zuzugreifen, um deren Zugriffssicherheit zu testen, und scannt dann denselben Netzwerkbereich wie der Host, um zu prüfen, ob anonyme Benutzer auf Freigaben zugreifen können. ## Portscan Nach der Infektion eines Hosts scannt Malware benachbarte IP-Adressen, um neue Ziele zu finden. Malware-Autoren verlassen sich nicht auf Standardbefehle, da deren Überwachung und Einschränkung zur Eindämmung führen könnte. Stattdessen bewerten sie den nächsten Host, indem sie alle IP-Adressen im Adressraum des Hosts scannen. Das Toolkit scannt eine kleine Auswahl von Hosts im selben Netzwerk nach gängigen Ports. ## Firewall-Blockierung Malware kann versuchen, über zufällige, unbekannte Ports zurück zum Angreifer zu verbinden. Das Toolkit prüft, ob eine ausgehende TCP-Verbindung über einen sehr hohen Port möglich ist. Solche Verbindungen sind normalerweise verdächtig und sollten blockiert werden. ## Direkter DNS-Zugriff Das Toolkit prüft, ob Malware einen DNS-Tunneling-Angriff durchführen kann, indem es auf dem Client eine Drittanbieter-Domain auflöst. Wenn der Server in eine IP-Adresse aufgelöst wird, zeigt dies, dass der Client DNS-Anfragen an externe Domains über interne DNS-Forwarder stellen kann. Für einen realen Test des DNS-Tunneling-Verkehrs verwenden Sie bitte den "DNS Tunneling Test". ## Verdächtige Kommunikation Das Toolkit prüft, ob Ihr SIEM verdächtige GET-Anfragen an malwarebezogene Websites erkennt. Es verarbeitet eine aktuelle Liste malwarebezogener Websites wie und versucht dann, einfache GET-Anfragen an ausgewählte Websites zu senden, um zu sehen, ob Verbindungen zu diesen bösartigen Websites zugelassen oder blockiert werden. ## Dateioperationen auf Freigabe Das Toolkit prüft auf einer eingebundenen Freigabe (falls erkannt), ob innerhalb eines kurzen Zeitfensters von derselben Quelle aus mehrere hundert Lese-/Schreiboperationen erfolgen können. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://wiki.lucysecurity.com/lucy-wiki-de/anleitungen/angriffssimulationen/angriffstypen/technischer-malware-test/malware-toolkit-test-suite.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.