MetaDefender 3.2.0 erweitert die Zero-Day-Erkennungspipeline OPSWATvon vier auf fünf Ebenen. Die neue Version fügt „Predictive Alin AI“ als Ebene für die statische Analyse vor der Ausführung hinzu, verbessert die Zuordnung von Bedrohungen und die PE-Emulation und erweitert die Erkennung auf neue Umgehungs-, Malware- und Social-Engineering-Techniken.
Wichtigste Erkenntnisse
- MetaDefender 3.2.0 erweitert die Zero-Day-Erkennung durch die Integration von „Predictive Alin AI“ als Layer 2 von vier auf fünf koordinierte Ebenen.
- Die Predictive Alin AI klassifiziert unterstützte, risikobehaftete ausführbare Dateien vor deren Ausführung, wobei die Zielwerte für die Beurteilungszeiten bei P90 bei 50 Millisekunden und bei P99 unter 100 Millisekunden liegen.
- Dateien mit unklaren oder widersprüchlichen Signalen werden zur weitergehenden Verhaltensanalyse an die emulationsbasierte adaptive Sandbox MetaDefender weitergeleitet.
- MetaDefender schafft einen kontinuierlichen Regelkreis zwischen Vorhersage, Emulation, Reputation und Bedrohungssuche, wodurch neue Erkenntnisse zur Verbesserung künftiger Entscheidungen bezüglich Dateien beitragen können.
- Die Analyse von ausführbaren Dateien erfasst nun das Verhalten von Malware, die von bestimmten Dateien oder Pfaden abhängt, umfassender und bietet den Analysten gleichzeitig mehr Kontrolle über die bei der Untersuchung herangezogenen Bedingungen.
- Zu den neuen und verbesserten Erkennungsfunktionen gehören EtherHiding, fehlerhafte .NET-Assemblies, Remote-Template-Injection, Wiper-Malware, ClickFix-Kampagnen sowie weitere Malware-Familien
- Die Syslog-Verwaltung wird in das Admin-Panel verlagert und bietet nun eine umfassendere Protokollierung; bestehende Konfigurationen müssen nach dem Upgrade manuell neu konfiguriert werden.
Was ist neu in MetaDefender 3.2.0?
MetaDefender 3.2.0 führt einen neuen Entscheidungspunkt vor der Ausführung sowie eine Reihe von Verbesserungen bei der Analyse und Erkennung ein. Die wichtigste architektonische Änderung ist die Einbindung von „Predictive Alin AI“ als Ebene 2, die zwischen „Threat Reputation“ und der dynamischen Analyse positioniert ist.
MetaDefender ist die einheitliche Zero-Day-Erkennungslösung OPSWAT, die adaptive Sandboxing-Verfahren, Bedrohungsinformationen, Bedrohungsbewertung und maschinell lernbasierte Ähnlichkeitssuche in einer koordinierten Erkennungspipeline vereint. Mit Version 3.2.0 wird eine prädiktive statische Analyse hinzugefügt, ohne dass dabei bestehende Analyseschritte entfernt werden.
Die fünf Schichten sind:
- Bedrohungsreputation: Überprüft Dateien und Infrastruktur anhand bekannter Informationen
- Statische Analyse: Nutzt die prädiktive KI von Alin, um böswillige Absichten bereits vor der Ausführung zu erkennen
- Dynamische Analyse: Simuliert verdächtige und nicht identifizierte Dateien, um das Laufzeitverhalten aufzudecken
- Bedrohungsbewertung: Verknüpft die vorliegenden Hinweise zu einer auf Konfidenz basierenden Risikobewertung und einer Einschätzung
- Threat Hunting: Ordnet Proben den entsprechenden Malware-Familien, der Infrastruktur und den Kampagnen zu
Die bisherigen Ebenen 2, 3 und 4 werden zu den Ebenen 3, 4 und 5. Die neue Ebene zwingt nicht jede Datei zu einer weiteren langwierigen Analysephase. Sie hilft vielmehr dabei zu entscheiden, in welchem Umfang jede Datei einer zusätzlichen Prüfung unterzogen werden muss.
Ein Blick in die fünfschichtige Zero-Day-Erkennungsarchitektur
Die fünfstufige Pipeline wendet auf der Grundlage der für jede Datei verfügbaren Hinweise zunehmend tiefgreifendere Analysen an. Bekannte Bedrohungen können frühzeitig identifiziert werden, Vorhersagen mit hoher Zuverlässigkeit können bereits vor der Ausführung bewertet werden, und bei mehrdeutigen Dateien kann die Emulation und die Bedrohungssuche fortgesetzt werden, ohne die endgültige Entscheidung zu beeinträchtigen.
Schicht 1: Reputation von Bedrohungen
Die Bedrohungsbewertung identifiziert bekannte Bedrohungen und die Infrastruktur von Angreifern. MetaDefender überprüft verfügbare Informationen zu Datei-Hashes, URLs, IP-Adressen und Domains anhand von Online- oder Offline-Reputationsquellen. Dateien ohne eindeutiges Reputationsergebnis werden der statischen Analyse unterzogen. Die Offline-Reputationsprüfung unterstützt auch regulierte und isolierte Umgebungen, in denen Cloud-Informationen möglicherweise nicht verfügbar sind.
Ebene 2: Statische Analyse mit Predictive Alin AI
Die prädiktive Alin-KI analysiert strukturelle, semantische und verhaltensbezogene Dateiindikatoren vor der Ausführung, der Auslösung oder der Überwachung während der Laufzeit. Die KI-gestützte Malware-Erkennungs-Engine liefert innerhalb von Millisekunden auf maschinellem Lernen basierende Beurteilungen und kann sowohl online als auch vollständig offline betrieben werden.
Ebene 2 unterstützt zwei Hauptziele:
- Umleitung: Durch hochgradig vertrauenswürdige, saubere Dateien lassen sich unnötige Sandbox-Analysen vermeiden
- Erkennung: Mit hoher Zuverlässigkeit können schädliche Dateien vor ihrer Ausführung identifiziert und blockiert werden, darunter auch solche, die von herkömmlichen Antiviren-Engines möglicherweise nicht erkannt werden.
Für unterstützte ausführbare Dateien mit hohem Risiko ist Predictive Alin AI so ausgelegt, dass die P90-Beurteilungszeiten bei 50 Millisekunden und die P99-Beurteilungszeiten unter 100 Millisekunden liegen. Dateien, die den erforderlichen Konfidenzschwellenwert nicht erreichen, werden einer dynamischen Analyse unterzogen, anstatt sich auf eine unzuverlässige statische Beurteilung zu verlassen.
Predictive Alin AI erweitert die statische Überprüfung zudem auf unterstützte KI- und Machine-Learning-Modelldateien. Die Analyse hilft dabei, eingebetteten beliebigen Code zu identifizieren, der beim Laden eines Modells ausgeführt werden könnte.
Ebene 3: Dynamische Analyse
Die dynamische Analyse leitet verdächtige und unklare Proben an die emulationsbasierte adaptive Sandbox MetaDefender weiter. MetaDefender emuliert Befehle, Dateioperationen, Skripte und relevante Interaktionen mit dem Betriebssystem, anstatt auf eine herkömmliche virtuelle Maschine zurückzugreifen.
Die Emulation auf Befehlsebene hilft dabei, Malware aufzudecken, die Anti-VM-Prüfungen, verzögerte Ausführung, fehlerhafte Strukturen oder Umgebungsbedingungen nutzt, um die automatisierte Analyse zu stören. MetaDefender kann Laufzeitverhalten, Loader-Ketten, versteckte Payloads und Indikatoren für eine Kompromittierung aufdecken.
Neu entdeckte Indikatoren können in die lokale Reputationsdatenbank einfließen und künftige Layer-1-Entscheidungen verbessern. Bestätigte Zero-Day-Befunde stärken die zukünftige Reputation und die prädiktive Analyse und helfen Aether dabei, verwandte Varianten bereits in einem früheren Stadium der Pipeline zu identifizieren.
Ebene 4: Bedrohungsbewertung
Die Bedrohungsbewertung fasst Erkenntnisse aus Reputationsdaten, statischen Analysen und dynamischen Analysen zu einer vertrauensbasierten Risikobewertung zusammen. Die Bewertungs-Engine konsolidiert Signale wie Persistenz, Prozessinjektion, Auslieferung von Payloads, verdächtige Dateiänderungen und Command-and-Control-Aktivitäten.
Das daraus resultierende Ergebnis kann die Durchsetzung von Richtlinien unterstützen und Analysten dabei helfen, Bedrohungen zu priorisieren, die einer sofortigen Untersuchung bedürfen. Eine konsolidierte Bewertung verringert zudem die Notwendigkeit, unzusammenhängende Ergebnisse aus verschiedenen Analysetools zu interpretieren.
Ebene 5: Bedrohungssuche
Threat Hunting ergänzt die Dateibewertung um Informationen zur Zuordnung und zum Kampagnenkontext. Die ML-Ähnlichkeitssuche (Machine Learning) verknüpft verwandte Samples, Malware-Familien, gemeinsam genutzte Infrastruktur und Kampagnen miteinander.
Anhand dieser Zusammenhänge können Analysten feststellen, ob es sich bei einem Fund um eine isolierte Datei, eine modifizierte Version bekannter Malware oder um Teil einer umfassenderen Aktion handelt. Maschinell lesbare Ergebnisse und extrahierte Indikatoren können SIEM- (Security Information and Event Management), SOAR- (Security Orchestration, Automation, and Response), MISP- (Malware Information Sharing Platform) und STIX- (Structured Threat Information Expression) Workflows sowie Ermittlungs- und Reaktionsprozesse unterstützen.
Aktuelle interne Benchmark-Tests zeigen, dass die Erkennungsrate mit zunehmender Anzahl von Hinweisen über die fünf Ebenen hinweg steigt und nach der „Threat Hunting“-Phase 99,5 % erreicht.*
*Basierend auf internen Vergleichstests.
Schnellere Entscheidungen vor der Ausführung mit der prädiktiven Alin-KI
Predictive Alin AI fügt vor der ressourcenintensiven dynamischen Analyse einen schnellen Checkpoint ein. Diese Ebene reduziert den unnötigen Sandbox-Bedarf und bietet gleichzeitig eine weitere Möglichkeit, böswillige Absichten zu erkennen, bevor das Laufzeitverhalten sichtbar wird.
In der bisherigen Architektur wurden unbewertete Dateien direkt aus „Threat Reputation“ in die dynamische Analyse weitergeleitet. In Version 3.2.0 kann nun jede Datei entsprechend ihrer Zuverlässigkeitsbewertung weitergeleitet werden:
- Fehlerfreie Dateien mit hoher Zuverlässigkeit können ohne unnötige Emulation weitergeleitet werden
- Bösartige Dateien, bei denen eine hohe Wahrscheinlichkeit besteht, dass sie schädlich sind, können vor ihrer Ausführung gestoppt werden
- Zweifelhafte Dateien werden zur eingehenderen Überprüfung an die adaptive Sandbox weitergeleitet
Das Routing-Modell konzentriert die dynamische Analyse auf Dateien, bei denen verhaltensbasierte Erkenntnisse den größten Mehrwert bieten. MetaDefender führt weiterhin eine tiefgehende Emulation durch, wenn eine Datei dies erfordert.
Zentralisierte Syslog-Verwaltung und umfassendere Transparenz bei der Auditierung
Die Syslog-Konfiguration wird nun über das Aether-Admin-Panel verwaltet, wodurch Administratoren eine benutzerfreundlichere und zentralisierte Möglichkeit zur Steuerung der Protokollierung erhalten. Der Erfassungsumfang wurde zudem über die Zusammenfassungen der Scan-Ergebnisse hinaus auf Authentifizierungsereignisse und Änderungen an den Administratoreinstellungen ausgeweitet, was eine bessere Transparenz für die Sicherheitsüberwachung, das Auditing und die Nachverfolgung von Änderungen bietet.
Eine fundiertere und besser umsetzbare Zuordnung von Bedrohungen
MetaDefender 3.2.0 bietet klarere, durch Beweise untermauerte Klassifizierungen, die Aufschluss über die wahrscheinliche Identität und Absicht einer Bedrohung geben. Analysten können die Ergebnisse schneller nachvollziehen und fundiertere Kontextinformationen in die Bedrohungsbewertung, die Bedrohungssuche und die anschließenden Gegenmaßnahmen einfließen lassen.
Die Zuordnung von Bedrohungen wird sowohl für die eingereichte Datei als auch für heruntergeladene oder extrahierte Dateien, die während der Analyse entdeckt werden, separat berechnet. Dies hilft den Analysten dabei, die Rolle und das Risiko jeder einzelnen Komponente in einem mehrstufigen Angriff zu unterscheiden.
Eine umfassendere Analyse des Verhaltens ausführbarer Dateien
MetaDefender 3.2.0 verbessert die Analyse von ausführbarer Malware, deren Verhalten von bestimmten Dateien, Pfaden oder Ressourcen abhängt. Ein konfigurierbares virtuelles Dateisystem ermöglicht es den Samples MetaDefender 3.2.0 verbessert die Analyse von ausführbarer Malware, die während der Ausführung auf bestimmte Dateien, Pfade oder Ressourcen angewiesen ist. Ein konfigurierbares virtuelles Dateisystem ermöglicht es den Malware-Beispielen, während der Portable Executable (PE)-Emulation mit den Dateien und Pfaden zu interagieren, die sie erwarten. Dadurch kann MetaDefender vollständigere Ausführungsabläufe erfassen, zusätzliche Payload-Aktivitäten und Indikatoren für Kompromittierung aufdecken und das Risiko verringern, dass umgebungsabhängiges Verhalten verborgen bleibt. Analysten können zudem die von einem Malware-Beispiel erwarteten Dateien definieren, was ihnen mehr Kontrolle bei der Untersuchung komplexer Malware mit spezifischen Dateisystemabhängigkeiten verschafft.
Welche neuen Bedrohungen und Umgehungstechniken kann MetaDefender 3.2.0 erkennen?
MetaDefender 3.2.0 verbessert die Erkennung in den Bereichen Verschleierung in Blockchain-basierten Infrastrukturen, fehlerhaft formatierte ausführbare Dateien, die Übertragung von Payloads über Dokumente, zerstörerische Malware und Social Engineering. Die neue Version erweitert zudem die Extraktion von Malware-Konfigurationen und die Abdeckung der lokalen Reputationsdaten.
EtherHiding
EtherHiding verbirgt bösartige Befehle, URLs oder von Angreifern kontrollierte Infrastruktur in Blockchain-Transaktionen und Smart Contracts. Dezentrale Dienste können herkömmliche Blockierungs- und Löschmaßnahmen erschweren. Eine neue Erkennungslogik hilft Analysten dabei, mit EtherHiding in Verbindung stehende Aktivitäten zu identifizieren und die Infrastruktur zu untersuchen, auf die eine analysierte Probe verweist.
Absichtlich fehlerhafte .NET-Assemblies
Fehlerhaft formatierte .NET-Assemblies können so gestaltet werden, dass Parser, Dekompiler oder automatisierte Analyse-Tools bereits vor dem Erreichen des Schadcodes ausfallen. MetaDefender bietet nun eine Erkennung für fehlerhaft formatierte .NET-Strukturen, die mit der Störung von Analysen und der Umgehung von Sicherheitsmaßnahmen in Verbindung stehen.
Genauere Erkennung von Remote-Template-Injection
MetaDefender 3.2.0 unterscheidet nun genauer zwischen böswilligen Remote-Template-Injektionen und gewöhnlichen eingebetteten Links. Das Update reduziert Fehlalarme bei legitimen URLs und erkennt gleichzeitig böswillige IP-Adressen, die durch Oktalkodierung verschleiert sind. Dadurch erhalten Bedrohungsanalysten eine umfassendere Abdeckung bei Angriffen mit verschleierten Dokumenten, ohne dass unnötiger Untersuchungsaufwand entsteht.
Wiper-Malware
Wiper-Malware dient dazu, Daten und Systeme zu zerstören, zu beschädigen oder unzugänglich zu machen. Neue Erkennungstechniken verbessern die Identifizierung destruktiver Malware, bei der unter Umständen keine Wiederherstellung möglich ist. Eine frühzeitige Erkennung ist besonders wertvoll in kritischen Infrastrukturen, Behörden und Produktionsumgebungen, in denen die Betriebsverfügbarkeit oberste Priorität hat. Wie in unserem früheren Blogbeitrag erläutert, gehören Wiper zu den am häufigsten eingesetzten Waffen bei OT-Angriffen.
ClickFix-CAPTCHA-Kampagnen
ClickFix-Kampagnen nutzen gefälschte Browserfehler, Bestätigungsaufforderungen und CAPTCHA-ähnliche Oberflächen, um Nutzer dazu zu verleiten, schädliche Befehle auszuführen. MetaDefender 3.2.0 erweitert die auf OCR (Optical Character Recognition) basierende CAPTCHA-Erkennung und unterstützt nun auch verschleierte, aber visuell dargestellte gefälschte CAPTCHAs.
Die Analyse berücksichtigt, was ein Nutzer auf der gerenderten Seite sieht, selbst wenn der zugrunde liegende Inhalt so strukturiert ist, dass er einer textbasierten Erkennung entgeht. In unserem früheren Blogbeitrag wird erläutert, wie sich ClickFix-Angriffe erkennen und abwehren lassen, bevor sie die Endgeräte erreichen.
Extraktion von Malware-Konfigurationen und lokale Reputation
Neue Konfigurations-Extraktoren unterstützen PrivateLoader und Quasar RAT. Aus den extrahierten Konfigurationen lassen sich Command-and-Control-Infrastrukturen, Kampagnenkennungen, Ausführungsparameter und weitere Details ableiten, die bei der Untersuchung und Reaktion herangezogen werden. Die lokale Reputationsdatenbank wird zudem um weitere IOCs erweitert. Die erweiterten Offline-Informationen verbessern die Erkennung in Air-Gapped-Umgebungen, in denen keine Cloud-Abfragen möglich sind.
Wann sollten Unternehmen MetaDefender 3.2.0 einsetzen?
MetaDefender 3.2.0 wurde für Datei-Workflows entwickelt, bei denen eine Zero-Day-Erkennung erforderlich ist, bevor Inhalte die Benutzer oder geschützte Systeme erreichen. Die fünfstufige Pipeline ist besonders dann von Bedeutung, wenn Analysegeschwindigkeit, Kontrollmöglichkeiten bei der Bereitstellung und eine umfassende Verhaltensanalyse gleichermaßen gewährleistet sein müssen.
- Prüfung großer Dateimengen: Die prädiktive Alin-KI kann schnelle Entscheidungen treffen, bevor Dateien in die tiefere Emulation gelangen
- Air-Gapped- oder regulierte Umgebungen: Reputation, prädiktive Analyse und die Bereitstellungsoptionen MetaDefender können ohne Cloud-Anbindung betrieben werden
- Analyse von Malware, die Erkennung umgeht: Durch Emulation werden Verhaltensweisen aufgedeckt, die darauf abzielen, Sandboxes in virtuellen Maschinen und statische Tools zu umgehen
- SOC- und Threat-Hunting-Workflows: Konsolidierte Bewertungen, Zuordnung, IOCs und die Ähnlichkeitssuche unterstützen die Priorisierung und die Analyse von Kampagnen
Die Erkennung von Zero-Day-Angriffen vorverlegen
Dateien gelangen über E-Mail, verwaltete Dateiübertragungen, Cloud-Anwendungen, Web-Uploads, Wechseldatenträger, Software-Updates und Lieferketten-Workflows in Unternehmen. MetaDefender 3.2.0 unterstützt IT- und OT-Sicherheitsteams dabei, diese Dateien zu überprüfen, bevor sie die Benutzer oder geschützte Systeme erreichen.
Entscheidungen mit hoher Zuverlässigkeit reduzieren unnötige Sandbox-Analysen und Analyseverzögerungen und tragen dazu bei, dass Workflows mit hohem Dateiaufkommen reibungslos weiterlaufen, während verdächtige Proben einer eingehenderen Prüfung unterzogen werden. Konsolidierte Beurteilungen, eine klarere Zuordnung und der Kampagnenkontext helfen SOC-Teams dabei, weniger Zeit mit der Korrelation unzusammenhängender Befunde zu verbringen und ihre Untersuchungen auf die Bedrohungen zu konzentrieren, die Maßnahmen erfordern.
Ein kontinuierlicher Rückkopplungskreislauf zwischen Vorhersage, Emulation, Reputation und Bedrohungssuche ermöglicht es, dass neue Erkenntnisse die zukünftige Erkennung und die Entscheidungen bezüglich der Dateien verbessern.
Erfahren Sie mehr über MetaDefender oder wenden Sie sich an OPSWAT ein Upgrade auf Version 3.2.0 zu besprechen.
Häufig gestellte Fragen
Was ist die größte Neuerung in MetaDefender 3.2.0?
Predictive Alin AI wird zur neuen Layer-2-Ebene für die statische Analyse vor der Ausführung. Durch diese Erweiterung wird MetaDefender von vier auf fünf Ebenen ausgebaut, und Dateien werden je nach Konfidenzgrad zur tiefergehenden Analyse weitergeleitet.
Ersetzt die Predictive Alin AI die adaptive Sandbox MetaDefender ?
Nein. Predictive Alin AI fügt einen Entscheidungspunkt vor der adaptiven Sandbox hinzu, während unsichere oder widersprüchliche Samples weiterhin der emulationsbasierten dynamischen Analyse unterzogen werden.
Kann MetaDefender 3.2.0 in einer Air-Gapped-Umgebung betrieben werden?
Ja. MetaDefender und Predictive Alin AI unterstützen den Offline-Betrieb, und die erweiterte lokale Reputationsdatenbank bietet zusätzliche IOC-Abdeckung, wenn keine Cloud-Intelligence verfügbar ist.
Wie schnell ist Predictive Alin AI?
Predictive Alin AI ist so ausgelegt, dass es bei unterstützten ausführbaren Dateien mit hohem Risiko eine P90-Entscheidungszeit von 50 Millisekunden und eine P99-Entscheidungszeit von unter 100 Millisekunden erreicht. Die tatsächliche Leistung kann je nach Dateityp, Einsatzumgebung und Arbeitslast variieren.
Welche neuen Erkennungsbereiche sind in MetaDefender 3.2.0 enthalten?
Mit dieser Version werden Erkennungsmechanismen für EtherHiding, fehlerhafte .NET-Assemblies, Remote-Template-Injection, Wiper-Malware, ClickFix-CAPTCHA-Kampagnen, PrivateLoader und Quasar RAT hinzugefügt oder verbessert. Zudem wird die Abdeckung der lokalen IOC-Reputation erweitert.
