Vollständiger Leitfaden zur Malware-Analyse zum Schutz Ihrer Systeme

Informatec Digital » Ressourcen » Vollständiger Leitfaden zur Malware-Analyse zum Schutz Ihrer Systeme

Die Malware-Analyse hat sich zu einer der wichtigsten Aufgaben der modernen Cybersicherheit entwickelt – sowohl für Unternehmen als auch für Privatanwender. Täglich tauchen neue Varianten von Schadcode auf, die Dateien verschlüsseln, Zugangsdaten stehlen oder unsere Aktivitäten auf unseren Geräten ausspionieren können. Daher ist das Verständnis, wie man diese schädliche Software untersucht und erkennt, längst nicht mehr ausschließlich spezialisierten Laboren vorbehalten.

Die systematische Untersuchung von Malware ist alles andere als eine rein „nerdige“ Angelegenheit. Sie ermöglicht die schnelle Reaktion auf Sicherheitsvorfälle, die Erstellung von Erkennungssignaturen, verbesserte Antivirensoftware und die Entwicklung von Sicherheitsplattformen für Unternehmen. Sehen wir uns genauer an, was Malware-Analyse ist, welche verschiedenen Malware-Typen es gibt, wie sie im Sicherheitsalltag eingesetzt wird, welche Anzeichen auf eine mögliche Infektion hindeuten und welche Werkzeuge und Techniken professionelle Analysten verwenden.

Was ist Malware-Analyse und warum ist sie so wichtig?

Bei der Malware-Analyse geht es um die detaillierte Untersuchung eines Schadprogramms (oder eines Programms, das im Verdacht steht, schädlich zu sein), um dessen Funktionsweise und mögliche Auswirkungen auf ein System oder Netzwerk zu verstehen. Diese Untersuchung kann manuell mittels Reverse Engineering und Debugging erfolgen oder automatisierte Plattformen und Sandboxes nutzen, die die Bedrohung klassifizieren und darüber berichten.

Dank dieses Prozesses können Sicherheitsteams Vorfälle nach Schweregrad klassifizieren , Indikatoren für eine Kompromittierung (IoC) extrahieren, die Früherkennung verbessern, die Regeln ihrer Sicherheitslösungen anpassen und verstehen, ob es sich bei einer Angriffskampagne um einen isolierten Vorfall oder um einen Teil einer umfassenderen, besser organisierten Bedrohung handelt.

Die Malware-Analyse ermöglicht auch die Erkennung schädlicher Software, bevor diese Schaden anrichten kann – etwas, das in Unternehmensumgebungen von entscheidender Bedeutung ist, da eine einzige Ransomware-Infektion den gesamten Betrieb eines Unternehmens lahmlegen oder sensible Kunden- und Mitarbeiterdaten offenlegen kann.

Arten von Malware und Infektionssymptome

Der Begriff „Malware“ ist ein Oberbegriff für alle Arten von Programmen, die darauf abzielen, Schaden anzurichten oder den Interessen des Nutzers oder des Unternehmens zu schaden. Nicht alle Malware verhält sich gleich, und sie verfolgt auch nicht alle dasselbe Ziel, aber sie alle haben gemeinsam, dass sie heimtückisch und schädlich sind.

Unter den häufigsten Malware-Arten findet sich eine lange Liste von Varianten, von denen jede ihre eigene Persönlichkeit besitzt:

• Virus: Code, der sich mithilfe des Benutzers selbst repliziert, in der Regel durch das Öffnen infizierter Dateien oder das Ausführen infizierter Programme.
• Würmer: Sie verbreiten sich automatisch durch Ausnutzung von Netzwerk-Schwachstellen, ohne dass ein Eingreifen des Benutzers erforderlich ist.
• Trojaner: Sie geben sich als legitime oder harmlose Software aus, um unbemerkt in das System einzudringen.
• RAT (Remote Access Trojaner): Ein Trojaner, der entwickelt wurde, um dem Angreifer die vollständige Fernsteuerung des Computers zu ermöglichen.
• Hintertür: Hintertür, die es dem Angreifer ermöglicht, Befehle auszuführen oder auf das System zuzugreifen, ohne sich normal authentifizieren zu können.
• Downloader oder Dropper: kleines Programm, dessen Hauptaufgabe darin besteht, andere, komplexere Schadsoftware herunterzuladen und auszuführen.
• Hacktool: Werkzeuge, die für Angriffe verwendet werden (Scanner, Brute-Force-Angriffe usw.), die nicht immer ausschließlich böswillig sind.
• Ransomware: Es verschlüsselt die Dateien des Opfers und fordert eine Zahlung für die angebliche Wiederherstellung.
• Bot: Komponente, die es dem Team ermöglicht, in ein Botnetz integriert zu werden, um koordinierte Angriffe zu starten.
• Root-Kit: Software, die darauf ausgelegt ist, sich selbst zu verbergen und dauerhaften Zugriff mit hohen Berechtigungen aufrechtzuerhalten.
• Keylogger: Es zeichnet Tastatureingaben auf, um Passwörter, Nachrichten und andere sensible Daten zu stehlen.
• Mining-Software: Es nutzt die Ressourcen des Teams, um ohne Zustimmung Kryptowährungen zu schürfen.
• Informationsdieb: Im Fokus steht der Diebstahl von Zugangsdaten, persönlichen Informationen oder Finanzdaten.
• Spyware: Es überwacht die Benutzeraktivitäten und sendet die Informationen ohne Erlaubnis an den Angreifer.
• PUP/PUA: Potenziell unerwünschte Programme, wie z. B. Browser-Toolbars und aggressive Adware.
• Adware: Es blendet aufdringliche Werbung ein und kann den Browser oder das System verändern.

Alle diese Malware-Arten können jedes moderne Betriebssystem befallen : Windows, Linux, macOS, Android, iOS und andere. Ein Plattformwechsel bietet keine Garantie für Sicherheit; er ändert lediglich die Art der Bedrohungen, denen Sie begegnen werden.

Die Symptome einer Infektion können sehr unterschiedlich sein, einige Muster treten jedoch häufig auf. Ein mit Schadsoftware infizierter Computer wird typischerweise merklich langsamer , der Lüfter springt unerwartet an, die Akkulaufzeit verkürzt sich deutlich, und es erscheinen Pop-up-Fenster, Browser-Toolbars, an deren Installation man sich nicht erinnern kann, oder seltsame Fehlermeldungen und Bildschirme.

Weitere typische Probleme sind plötzlicher Speicherplatzmangel , Dateien mit geänderter Dateiendung, eine mysteriöse README-Datei, die besagt, dass alles verschlüsselt ist (eine klassische Ransomware-Taktik), oder ungewöhnlicher Datenverbrauch auf Mobilgeräten. Oft deuten diese Anzeichen auf versteckte Prozesse hin, die im Hintergrund Ressourcen verbrauchen.

Wie Schadsoftware sich auf unsere Geräte einschleicht

Der häufigste Einfallstor für Schadsoftware sind nach wie vor Phishing-E-Mails . Der Angreifer gibt sich als Bankmitarbeiter, Kurierdienst, Versorgungsunternehmen oder sogar als Bekannter aus und versucht, uns dazu zu verleiten, auf einen Link zu klicken oder einen Anhang zu öffnen, der in Wirklichkeit Schadcode enthält.

Eine weitere sehr verbreitete Methode ist das Herunterladen von Software von inoffiziellen Websites oder alternativen App-Stores. „Kostenlose“ Programme mit Cracks, Lizenzgeneratoren oder kostenpflichtigen Aktivatoren enthalten oft getarnte Schadsoftware, deren Installation Nutzer häufig fast unwissentlich akzeptieren.

Darüber hinaus gibt es Schadsoftwarefamilien, die Netzwerk-Schwachstellen ohne Benutzereingriff ausnutzen können, wie beispielsweise WannaCry, Conficker, Blaster, Slammer und Sasser. In diesen Fällen muss der Wurm lediglich mit einem anfälligen Netzwerk verbunden sein, um sich zu verbreiten.

Die konkrete Lösung für eine Infektion hängt von der Art der Schadsoftware und dem verursachten Schaden ab. In Fällen wie Ransomware ist es jedoch am wenigsten ratsam, das Lösegeld zu zahlen , da dies das illegale Geschäft fördert und die Wiederherstellung der Daten nicht garantiert.

Wann und warum sollte man einen Malware-Scan durchführen?

Sie können fast jederzeit einen Malware-Scan durchführen, um den Status Ihres Computers zu überprüfen . Es gibt jedoch Situationen, in denen dies besonders ratsam ist. Wenn Sie vermuten, dass Ihr Gerät infiziert sein könnte, oder wenn Sie sicherstellen möchten, dass eine frühere Infektion vollständig entfernt wurde, ist es sinnvoll, sofort einen Scan durchzuführen.

Anzeichen, die weitere Untersuchungen erforderlich machen, sind ein deutlicher Leistungsabfall , eine überraschend kurze Akkulaufzeit, ein unerklärlich hoher Datenverbrauch oder jegliches ungewöhnliches Verhalten von Anwendungen und des Systems. All diese Symptome deuten auf unbekannte Prozesse hin, die unbemerkt Ressourcen verbrauchen.

Integrierte Tools wie Microsoft Defender ermöglichen schnelle oder vollständige Scans. Nach Abschluss des Scans zeigt das System automatisch an, ob verdächtige Elemente gefunden wurden, und bietet in vielen Fällen automatische Optionen zum Quarantänen oder Entfernen der erkannten Bedrohung an.

Arten und Phasen der Malware-Analyse

Analysten nutzen verschiedene Ansätze, um die Funktionsweise einer Bedrohung zu verstehen. Klassischerweise wird zwischen statischer, dynamischer und hybrider Analyse unterschieden , in der Praxis ist der Prozess jedoch meist in mehrere Phasen unterteilt, die im Verlauf der Untersuchung zunehmend komplexer werden.

In der ersten Phase werden üblicherweise automatisierte Scananalysen eingesetzt . Plattformen wie VirusTotal oder Unternehmens-Sandboxes vergleichen die Datei mit Datenbanken bekannter Bedrohungen, führen die Datei in kontrollierten Umgebungen aus und erstellen Berichte über Netzwerkverkehr, Dateiaktivitäten, Registry-Änderungen und andere wichtige Verhaltensweisen.

Im nächsten Schritt werden die statischen Eigenschaften analysiert , wobei die Datei ohne Ausführung untersucht wird: Hashwerte, eingebettete Zeichenketten, Ressourcen, Metadaten, PE-Header und ähnliche Formate. Tools wie PeStudio, PE-bear oder pefile ermöglichen die Visualisierung der internen Struktur und das Auffinden verschleierter Signaturen, URLs oder IP-Adressen.

Die dynamische Analyse beinhaltet das Ausführen der Malware in einer isolierten Umgebung (z. B. virtuelle Windows-Maschinen, Distributionen wie REMnux) und die Echtzeitbeobachtung der erstellten Prozesse, Dateisystemänderungen, Registrierungsschlüssel, Netzwerkverbindungen, Dienste oder generierten Mutexe. Hierbei kommen fortschrittliche Überwachungstools wie der Prozessmonitor oder Netzwerkaufzeichnungstools wie Wireshark zum Einsatz.

In der letzten, detailliertesten Phase analysieren Spezialisten den Code mithilfe von Disassemblern und Dekompilern (IDA, Ghidra, Radare, DnSpy, Jadx usw.). Mit Debuggern wie x64dbg oder WinDbg gehen sie die Ausführung schrittweise durch, analysieren API-Aufrufe, entschlüsseln interne Konfigurationen und identifizieren kritische Verschlüsselungs-, Exfiltrations- oder Umgehungsroutinen.

Anwendungsfälle der Malware-Analyse

Das übergeordnete Ziel all dieser Bemühungen ist es, verwertbare Erkenntnisse über die Bedrohung zu gewinnen – etwas, das für viele Aspekte der täglichen Cybersicherheit relevant ist. Es geht nicht nur darum, die Programmierung von Schadsoftware zu analysieren, sondern auch darum, die gesamte Verteidigung des Unternehmens zu verbessern.

Ein typisches Szenario ist die Reaktion auf Sicherheitsvorfälle . Wird verdächtiges Verhalten oder ein Einbruch festgestellt, muss das Reaktionsteam wissen, um welche Art von Schadsoftware es sich handelt, welche Aktionen sie ausführt, welche Systeme sie kompromittiert hat und wie sie spurlos entfernt werden kann. Die Analyse ermöglicht es ihnen, den Umfang des Vorfalls zu definieren und die Wiederherstellung zu planen.

Es wird zudem umfassend in der Malware-Forschung und -Erkennung auf akademischer und industrieller Ebene eingesetzt. Labore und Forschungsgruppen von Sicherheitsunternehmen untersuchen spezifische Malware-Familien (z. B. TrickBot, FIN7 und andere), um deren gesamte Angriffskette zu entschlüsseln, ihre Entwicklung zu verstehen und bessere Abwehrmechanismen zu entwerfen.

Ein dritter wichtiger Anwendungsfall ist die Extraktion von Indikatoren für eine Kompromittierung (IoCs) . Aus jeder Probe werden Hashes von Dateien, IP-Adressen, Domänen, Registrierungspfaden, Prozessnamen oder Zeichenkettenmustern extrahiert, die dann zur automatisierten Erkennung in SIEM-, EDR- und anderen Plattformen verwendet werden können.

Die Analyse verbessert zudem die proaktive Bedrohungssuche . Durch ein umfassendes Verständnis des Verhaltens einer Variante können die Analysten subtile Spuren in den Systemen einer Organisation verfolgen, um bisher unentdeckte Infektionen oder unbemerkte laterale Ausbreitung aufzudecken.

Schließlich verbessern all diese Informationen die Warnmeldungen und die Bedrohungsklassifizierung und helfen dabei, Prioritäten zu setzen: Welche Vorfälle erfordern sofortiges Handeln, welche können ruhiger gehandhabt werden? Moderne Endpoint-Security- und XDR-Lösungen nutzen diese Daten, um die Situation in Echtzeit zu kontextualisieren.

Strategische Vorteile der Malware-Analyse

Zu den deutlichsten Vorteilen zählt die Generierung hochwertiger Bedrohungsinformationen . Jede analysierte Stichprobe liefert neue Indikatoren für Kompromittierung (IoCs) und Taktiken, Taktiken und Verfahren (TTPs), die in Erkennungssysteme, Yara-Regeln, Blacklists und Reputationssysteme integriert werden.

Darüber hinaus verbessert eine detaillierte Analyse das funktionale Verständnis von Malware : ihren Zweck, ihre Persistenzmechanismen, die von ihr ausgenutzten Schwachstellen und ihre Umgehungstechniken. Dies ermöglicht die Entwicklung von Patches, die Stärkung von Konfigurationen und die Konzeption spezifischer Kontrollmechanismen, um ihre Ausführung zu unterbinden.

Wir dürfen den Aspekt der Zero-Day-Schwachstellenanalyse nicht vernachlässigen . Wenn ein Sample eine unbekannte Schwachstelle ausnutzt, hilft die sorgfältige Untersuchung des Exploits, die zugrundeliegende Schwachstelle zu identifizieren und robuste Sicherheitsupdates oder Gegenmaßnahmen zu entwickeln.

Schließlich ist die Malware-Analyse ein hervorragendes Lern- und Kompetenzentwicklungsinstrument für Cybersicherheitsexperten. Die Beobachtung des Vorgehens realer Bedrohungen ist der beste Weg, um zu verstehen, was in der Verteidigungswelt wirklich funktioniert und was nicht.

Schaffung und Schutz der Analyseumgebung

Bevor man sich Hals über Kopf an die Probenanalyse macht, ist es unerlässlich, ein kontrolliertes Labor einzurichten . Üblicherweise verwendet man dazu virtuelle Windows-10-Maschinen und spezialisierte Distributionen wie REMnux Linux , die in einem privaten Netzwerk miteinander verbunden und vom Rest der Infrastruktur isoliert sind.

Auf diesen Rechnern sind spezielle Tools wie Analyse-Suites (z. B. Sammlungen von Dienstprogrammen wie RevCore Tools, Sysinternals, Disassembler und Debugger) installiert . Zusätzlich ist die Netzwerkverkehrsaufzeichnung so konfiguriert, dass alles aufgezeichnet wird, was das Sample über das Netzwerk sendet oder empfängt.

Es ist wichtig zu beachten, dass viele Schadprogramme erkennen, ob sie in virtuellen Umgebungen oder Sandboxes ausgeführt werden, und ihr Verhalten entsprechend anpassen: Sie wechseln in den Ruhemodus, generieren gefälschte Daten oder vermeiden die Ausführung ihrer eigentlichen Schadsoftware. Daher ist es üblich, virtuelle Maschinen so zu konfigurieren, dass sie wie echte Systeme wirken: Die Anzahl der Kerne, die Festplattengröße, die vorhandenen Dokumente, die Mausnutzung usw. werden angepasst.

Wenn Schadsoftware sich in einer „freundlichen“ Umgebung wähnt (einem echten Rechner oder einem ausreichend überzeugenden), nistet sie sich typischerweise über die Windows-Registrierung oder Systemdienste ein, um bei jedem Systemstart oder jeder Anmeldung ausgeführt zu werden. Schlüssel wie Run, RunOnce, Winlogon, AppInit_DLLs oder Speicherorte in Autostart-Ordnern sind besonders anfällige Stellen, die Analysten mit Tools wie Autoruns durchsuchen.

Malware-Analyse-Tools

Das Arsenal eines Malware-Analysten kombiniert Low-Level-Tools mit automatisierten Plattformen . Es gibt kein Allheilmittel; je nach Sprache, Verpackung und Verhalten kann für jede Malware-Probe ein anderes Toolset erforderlich sein.

Im Bereich der statischen Analyse sind Disassembler und Dekompiler wie IDA, Ghidra und Radare besonders hervorzuheben. Sie wandeln Maschinencode in Assemblersprache und oft auch in leichter lesbaren Pseudocode um. Für .NET- oder Java-Binärdateien werden häufig DnSpy und Jadx verwendet.

Debugger wie x64dbg oder WinDbg ermöglichen die schrittweise Ausführung von Malware, das Setzen von Haltepunkten an kritischen APIs (Prozesserstellung, Kryptografie, Kommunikation) und die Echtzeitbeobachtung der Speicher- und Registermanipulation. Ältere Tools wie OllyDbg oder Immunity Debugger haben nach wie vor ihre Berechtigung, insbesondere bei der Analyse von Exploits mit spezialisierten Skripten.

Zur Beobachtung der Systemaktivität in Echtzeit werden fortgeschrittene Überwachungsprogramme wie Process Explorer, Process Monitor, TCPView oder Autoruns (alle von Sysinternals) verwendet, die Prozesse, Threads, Dateizugriffe, Netzwerkverbindungen und Persistenzpunkte sehr detailliert anzeigen.

Für die Analyse von PE-Dateien und ähnlichen Formaten erleichtern Tools wie PeStudio, PE-bear und pefile die Untersuchung von Abschnitten, Import- und Export-Einträgen, eingebetteten Ressourcen und potenziell verdächtigen Signaturen. Hex-Editoren wie HxD ermöglichen die byteweise Untersuchung jeder Datei und deren Bearbeitung bei Bedarf.

Netzwerkverkehr wird typischerweise mit Wireshark oder anderen Analysetools untersucht , um Command-and-Control-Domänen, verwendete Protokolle, exfiltrierte Daten oder verdeckte Tunnel aufzudecken. Yara-Regeln hingegen sind unerlässlich, um spezifische Familien innerhalb großer Stichproben zu identifizieren.

Beliebte Analyse- und Schutzinstrumente in Unternehmen

Im Unternehmensbereich setzen viele Organisationen neben einfachen Hilfsprogrammen auch auf kommerzielle Lösungen und zentralisierte Plattformen , um ihre Endpunkte zu schützen und verdächtige Dateien zu analysieren.

Zu den führenden Lösungen zählen Software-Suiten wie Malwarebytes, McAfee, F-Secure, AVG, Avast, Norton, Kaspersky und Comodo sowie spezialisierte Engines und Sandboxes wie Cuckoo Sandbox. Diese Tools kombinieren Echtzeitanalyse, signaturbasierte Erkennung, Verhaltensanalyse und Funktionen zur Reaktion auf Sicherheitsvorfälle.

Fortschrittliche Plattformen wie CrowdStrike Falcon oder SentinelOne integrieren Malware-Analyse in ihre EDR/XDR-Lösungen und können so dank maschinellem Lernen und integrierter Sandbox-Umgebung nicht nur bekannte Varianten, sondern auch neuartige und Zero-Day-Bedrohungen erkennen. Die Ergebnisse werden in zentralen Konsolen zusammen mit Daten anderer Sicherheitssensoren dargestellt.

Auch traditionelle Lösungen wie Kaspersky Endpoint Security bieten verschiedene Scanmodi an, die darauf ausgelegt sind, Sicherheit und Leistung in Einklang zu bringen: vollständiger Scan (überprüft Kernelspeicher, Bootsektoren, Backups und alle Festplatten), Scan kritischer Bereiche (Fokus auf Speicher, aktive Prozesse und Bootsektoren), benutzerdefinierter Scan (vom Benutzer ausgewählte Segmente) und Hintergrundscan (weniger aufdringliches Scannen, das die Auswirkungen auf die Ressourcen minimiert).

Wie sich Malware vor der Analyse verbirgt und verteidigt

Malware-Autoren wissen genau, dass ihre Programme früher oder später von Online-Analyseplattformen und Laboren gescannt werden . Daher integrieren sie Mechanismen, um diese Umgebungen zu erkennen und zu umgehen. Ihr Ziel ist es, entweder die Ausführung gänzlich zu verhindern oder irreführende Ergebnisse zu erzeugen, sobald sie eine Überwachung bemerken.

Zu den üblichen Prüfungen gehören Hardware- und Systemparameter wie die Anzahl der Prozessorkerne, die Festplattengröße, die mit virtuellen Maschinen verknüpfte MAC-Adresse, die Tastatursprache, der Host- oder Benutzername und das Vorhandensein bestimmter Registrierungsschlüssel, die virtualisierte Umgebungen aufdecken.

Malware kann laufende Prozesse auch nach Antivirenprogrammen, EDR-Software, Debuggern oder spezifischen Analysetools durchsuchen. Sobald sie einen dieser Indikatoren erkennt, kann sie die Ausführung stoppen, gefälschte Codepfade aktivieren oder sich einfach wie ein harmloses Programm verhalten.

Ein weiterer klassischer Trick besteht darin, die verstrichene Zeit oder das Ausführungsdatum zu überprüfen und mithilfe erweiterter Wartezeiten die Analysezeit automatisierter Sandboxes auszuschöpfen. Sobald die Analyse abgeschlossen ist und die Datei in eine reale Umgebung zurückkehrt, wird die Malware aktiv und verhält sich normal.

Um die Sache noch komplizierter zu machen, verwenden viele Angreifer Crypter und Packer , die die ursprüngliche Binärdatei verschlüsseln oder verschleiern. Der Builder erzeugt die endgültige ausführbare Datei mit mehreren Schutzebenen, und der Stub ist für das Entschlüsseln und Ausführen der eigentlichen Nutzlast verantwortlich, oft direkt im Arbeitsspeicher (Laufzeit) anstatt sie auf die Festplatte zu schreiben (Scanzeit), was das Abfangen und die anschließende Analyse erschwert.

Statische und dynamische Analysemethoden in der Praxis

Bei einer gründlichen statischen Analyse vermeidet der Analyst die Ausführung des Beispiels und konzentriert sich auf das Entpacken, Entschlüsseln und Verstehen der internen Logik . Zeichenketten werden mithilfe von String- oder FLOSS-Tools extrahiert (die entschlüsselte Zeichenketten zur Laufzeit abrufen), API-Importe werden überprüft, um das Verhalten abzuleiten, und Klassen werden mithilfe von Yara-Regeln identifiziert.

Der nächste Schritt umfasst typischerweise die Disassemblierung und Dekompilierung , um den Programmablauf, kritische Funktionen und potenzielle Codeblöcke im Zusammenhang mit Verschlüsselung, Fernkommunikation, Persistenz oder Rechteausweitung zu untersuchen. Häufig wird die interne Konfiguration der Malware (C2-Server, Verschlüsselungsschlüssel, Installationspfade) analysiert, um wertvolle Indikatoren für Kompromittierung (IoCs) zu gewinnen.

Bei der dynamischen Analyse wird in einer klar definierten Umgebung die Testumgebung ausgeführt, um die in der statischen Analyse aufgestellten Hypothesen zu überprüfen . Prozesserstellung, Dateimodifikation, Schreibvorgänge in die Windows-Registrierung, Netzwerkverkehr, Diensterstellung und Mutexe werden überwacht. Alle diese Informationen werden korreliert, um die Bedrohung zu identifizieren und zu definieren.

Online-Analysetools kombinieren beide Ansätze und können ein guter erster Schritt sein. Sie sind jedoch nicht unfehlbar : Sie können neue oder stark verdeckte Familien übersehen, liefern aber in der Regel genügend Hinweise und Indikatoren für eine weitere, detailliertere Laboruntersuchung.

Durch diesen gesamten Prozess sind die Analysten in der Lage, der jeweiligen Familie oder Variante einen Namen zu geben , ihre TTPs zu dokumentieren und Regeln zu generieren, die es ermöglichen, sie in anderen Systemen oder zukünftigen Kampagnen zu erkennen, wodurch der Kreislauf zwischen Analyse und Verteidigung geschlossen wird.

In einer Zeit, in der täglich Hunderte neuer Malware-Beispiele auftauchen, ist eine robuste Malware-Analyse entscheidend dafür, ob man den Angreifern immer einen Schritt hinterherhinkt oder ihre Schritte vorhersehen, Bedrohungen erkennen und blockieren kann, bevor sie zu einem größeren Problem für Benutzer und Organisationen werden.