Interviewfragen zu Malware
Types of malware, persistence, C2, packing, and how malicious software is analysed and detected.
Ein vollständiger Virenscan kam sauber zurück — beweist das, dass die Maschine nicht kompromittiert ist?
Nein. Antivirus ist ein Signal, kein Beweis. Es übersieht dateilose und im Speicher laufende Angriffe, brandneue oder verschleierte Proben, den Missbrauch legitimer Werkzeuge (Living-off-the-Land) und Rootkits, die sich davor verstecken. Fehlende Beweise sind kein Beweis für Abwesenheit — echte Sicherheit kommt aus EDR-Telemetrie, Speicherforensik, Verhaltensanalyse und IOC-Jagd. Einen sauberen Virenscan als Beweis für ein sauberes System zu behandeln, ist ein klassischer Incident-Response-Fehler.
Dein Antivirus hat die EICAR-Datei gemeldet — bedeutet das, dass du mit einem Virus infiziert bist?
Nein. Die EICAR-Testdatei ist eine bewusst harmlose 68-Byte-ASCII-Zeichenkette, die jeder Antivirus-Hersteller zu erkennen vereinbart, damit man Erkennung und Alarmierung sicher prüfen kann, ohne echte Malware anzufassen. Ein Treffer bedeutet, dass dein Antivirus funktioniert — nicht, dass du infiziert bist. Es ist kein Virus und tut nichts, wenn es ausgeführt wird. Eine EICAR-Testerkennung mit einer echten Infektion zu verwechseln, ist ein verbreiteter Anfänger-Fallstrick.
Ein Server wirkt kompromittiert — behebt ein Neustart oder Herunterfahren das Problem?
Nein. Die meisten echten Eindringversuche richten Persistenz ein (Dienste, geplante Aufgaben, Run-Schlüssel, Implantate), die einen Neustart überlebt, sodass der Angreifer einfach zurückkehrt. Schlimmer noch, das Ausschalten löscht flüchtige Beweise — laufende Prozesse, Netzwerkverbindungen, Malware im Speicher und Verschlüsselungsschlüssel —, die du zum Eingrenzen des Vorfalls brauchst. Richtig ist, einzudämmen, indem du den Host isolierst und dabei den Speicher bewahrst, und dann zu untersuchen. Neustart oder Herunterfahren als „Lösung“ ist ein schädlicher Instinkt.
Die Analyse offenbarte die C2-Domains der Malware und einen einzigartigen Mutex. Was ist das wertvollste Ergebnis für das SOC?
Das SOC muss handeln, also liefere strukturierten, handlungsfähigen Detektionsinhalt: Netzwerk-IOCs, Hashes, Host-Artefakte wie den Mutex und verhaltensbasierte oder YARA-Signaturen, die es ausrollen kann, um zu jagen und zu blockieren. Eine erschöpfende API-Aufzählung ist nicht direkt operativ. Ein einzelner Hash wird von Angreifern trivial geändert. Spekulative Attribution hilft dem SOC bei der Verteidigung nicht. Das Ziel: Detektionen, die das SOC heute ausrollen kann.
Du bist bereit, eine Probe dynamisch auszuführen. Welche Umgebung ist angemessen?
Detoniere nur in einer wegwerfbaren, isolierten VM mit Snapshots und kontrolliertem Netzwerk (z. B. simulierte Dienste oder eng überwachter Egress), damit die Malware weder die Produktion noch das Internet unkontrolliert erreicht. Der AV auf deinem Laptop hält aktive Malware nicht zuverlässig auf. Ein Produktionsserver gefährdet reale Systeme. Der Rechner einer Kollegin verschiebt die Gefahr nur. Isolation und rücksetzbare Snapshots sind der Kern eines sicheren Malware-Labors.
Eine Bedrohung läuft nur im Speicher, ohne Datei auf der Festplatte. Wie analysierst du sie?
Dateilose Malware lebt im Prozessspeicher (Injection, reflektives Laden, LOLBins), also sichere und analysiere ein Speicherabbild, um injizierten Code, verdächtige Module und Prozessbeziehungen zu finden. Ein Festplatten-AV-Scan und eine saubere Festplatte sagen nichts über ein Implantat im Speicher aus. Der Papierkorb ist irrelevant. Speicherforensik ist das richtige Werkzeug, wenn es keine Datei zu triagieren gibt, und du solltest sichern, bevor der Host neu gestartet wird.
Ein Host zeigt eine Erpressernotiz. Als Malware-Analyst im IR-Support — was ist der nützlichste erste Beitrag?
Die Familienbestimmung steuert die Entscheidungen: Aus Notiz, Dateiendung und IOCs kannst du anzeigen, ob ein kostenloser Decryptor existiert, welche typischen TTPs die Gruppe hat (einschließlich Datendiebstahl zur Erpressung) und wie groß der wahrscheinliche Wirkradius ist, und speist damit das IR-Team. Neuformatieren zerstört Beweise und Umfangsinformationen. Die Grammatik der Notiz ist nicht handlungsrelevant. Verhandlungen zu empfehlen ist eine Geschäfts- und Rechtsentscheidung, nicht der erste Schritt des Analysten. Erst bestimmen, dann IR befähigen.
Während der dynamischen Analyse kontaktiert die Probe ein aktives C2 und kann Befehle empfangen. Was ist das sichere Vorgehen?
Nutze simulierte Netzwerkdienste oder einen eng überwachten, nicht zuordenbaren Egress, um das C2-Verhalten zu studieren, ohne dem Angreifer deine echte IP zu zeigen oder zuzulassen, dass der Host schädliche Befehle erhält. Interaktion über die Firmen-IP verrät den Operator und riskiert echten Schaden. Das Bridging der Sandbox ins LAN lädt zur Ausbreitung ein. Das Abschalten der Logs verwirft die Analysedaten. Kontrolliere das Netzwerk, um zu beobachten, ohne dich zu exponieren oder instrumentalisiert zu werden.
Die statische Analyse zeigt hohe Entropie und kaum lesbare Imports oder Strings — die Probe wirkt gepackt. Was tust du?
Packing verbirgt den echten Code, daher sind hohe Entropie plus fehlende Imports ein Zeichen zum Entpacken — erkenne den Packer und dumpe das entpackte Abbild aus dem Speicher, sobald der Loader gelaufen ist, und analysiere dann die echte Payload. Unlesbare Strings sind ein Beleg für Evasion, nicht für Harmlosigkeit. Es als Fehlalarm zu deklarieren oder die Endung umzubenennen ignoriert eine aktiv verschleierte Probe. Die Verschleierung selbst ist ein starker bösartiger Indikator, der untersucht gehört.
Deine Probe tut in der Sandbox nichts, doch das SOC hat sie auf einem realen Host aktiv beobachtet. Was ist der wahrscheinliche Grund und deine Reaktion?
Malware prüft häufig auf VM-/Sandbox-Artefakte, kurze Laufzeiten oder Benutzerinteraktion und bleibt inaktiv, wenn sie diese erkennt. Tarne und härte die Analyse-VM, verlängere die Ausführung oder wechsle auf Bare Metal, und gewinne das Verhalten aus einem Speicherabbild des lebenden Hosts. Anzunehmen, sie sei kaputt oder der Host habe sich geirrt, ignoriert eine in der Praxis als bösartig belegte Probe. Ein Neustart ändert nichts, weil die Evasions-Logik bei jedem Lauf erneut feuert.
Das SOC übergibt dir eine verdächtige .exe vom Rechner eines Benutzers. Was ist dein ERSTER Analyseschritt?
Beginne mit statischer Triage in einer isolierten Umgebung: Hashes berechnen, Strings extrahieren, PE-Header und Imports prüfen und die Reputation abfragen, um die Probe zu verstehen, bevor du eine Ausführung riskierst. Sie auf deiner eigenen Workstation auszuführen kann dich und das Netzwerk infizieren. Kundenproben mit identifizierenden Namen hochzuladen gibt sensible Daten an Dritte preis. Sie zu löschen vernichtet die Beweise und die Chance, Detektionen zu bauen.
Ransomware verschlüsselt gerade jetzt aktiv die Dateifreigaben im gesamten Netzwerk. Was ist Ihre erste Priorität?
Eindämmung schlägt verfrühte Wiederherstellung: Stoppen Sie die Ausbreitung, indem Sie betroffene Segmente isolieren und den Verbreitungsweg kappen — das missbrauchte Dienstkonto deaktivieren, SMB zwischen Segmenten blockieren, den Staging-Host vom Netz nehmen — bei gleichzeitiger Beweissicherung, dann eradieren und wiederherstellen. In ein Netz wiederherzustellen, das noch verschlüsselt, verliert die wiederhergestellten Daten erneut. Das Lösegeld zu zahlen stoppt die laufende Verschlüsselung nicht und birgt rechtliches und Sanktionsrisiko. Allen Maschinen den Strom zu kappen zerstört flüchtige Beweise und kann Dateien mitten im Schreiben beschädigen, was eine saubere Wiederherstellung erschwert.
Was ist der Unterschied zwischen EDR und herkömmlichem signaturbasiertem Antivirus?
Herkömmliches Antivirus gleicht Dateien mit Signaturen bekannter Malware ab und blockiert oder isoliert sie – gut gegen bekannte Bedrohungen, schwach gegen neuartige oder dateilose Angriffe. EDR zeichnet kontinuierlich das Endpunktverhalten auf (Prozesse, Netzwerk, Registry, Speicher), nutzt Verhaltensanalytik zur Erkennung verdächtiger Aktivität und ermöglicht Respondern, aus der Ferne zu untersuchen, zu jagen und einzudämmen oder zurückzurollen. AV ist Prävention per Signatur; EDR ergänzt Sichtbarkeit, Erkennung und Reaktion.
Nenne die gängigen Wege, auf denen Malware auf einem Windows-Host über Neustarts hinweg persistiert, und wie du danach jagen würdest.
Persistenz ist, wie Malware Neustarts und Abmeldungen übersteht. Die typischen unter Windows sind Registry-Run/RunOnce-Schlüssel (HKLM und HKCU), geplante Aufgaben und Windows-Dienste, dazu Autostart-Ordner, WMI-Ereignisabonnements und DLL-Hijacks. Du jagst sie mit autoruns/Sysinternals, Sysmon und Ereignisprotokollen – auf der Suche nach unsignierten Binaries, seltsamen Pfaden wie %AppData% und Einträgen, die direkt nach der Erstkompromittierung erstellt wurden.
Erkläre Process Injection, nenne ein paar Techniken und sage, wie ein Blue Team sie erkennt.
Process Injection führt Angreifercode im Speicherbereich eines legitimen Prozesses aus, sodass die Aktivität sich einfügt und das Vertrauen dieses Prozesses erbt. Klassische Techniken sind DLL-Injection (CreateRemoteThread + LoadLibrary), Process Hollowing (einen harmlosen Prozess suspendiert starten, ihn entladen, bösartigen Code schreiben) und APC-Injection. Verteidiger erkennen sie über EDR-API-Hooks, anomale Eltern/Kind-Beziehungen oder Speicherbereiche (RWX, nicht dateigestützter ausführbarer Speicher) und Sysmon-CreateRemoteThread-Ereignisse.
Was ist Ransomware, und führe mich durch, wie du reagierst, sobald sie aktiv Systeme verschlüsselt.
Ransomware ist Malware, die Daten verschlüsselt (und zunehmend exfiltriert) und dann Zahlung fordert. Im aktiven Fall: betroffene Hosts vom Netzwerk isolieren, ohne sie auszuschalten, wenn du den Speicher bewahren kannst, Umfang, Patient Zero und die Variante bestimmen, Beweise sichern, das Standbein und etwaige Backdoors finden und vertreiben, dann aus bekannt sauberen Offline-Backups wiederherstellen. Zahlen ist ein letztes Mittel und garantiert nie die Wiederherstellung.
Vergleiche statische und dynamische Malware-Analyse, einschließlich der Stärken und Grenzen jeder Methode.
Statische Analyse untersucht ein Sample, ohne es auszuführen – Hashes, Strings, Imports, Header und Disassemblierung –, ist also sicher und vollständig in der Abdeckung, aber durch Packing und Obfuskation besiegbar. Dynamische Analyse zündet das Sample in einer isolierten Sandbox und beobachtet echtes Verhalten – Dateien, Registry, Prozesse, Netzwerk –, was Obfuskation durchschneidet, aber nur zeigt, was in dieser Sitzung läuft, und von sandbox-bewusster Malware umgangen werden kann. Analysten kombinieren beide.
Was ist ein Zero-Day, und wie verteidigt man sich gegen etwas ohne Patch?
Ein Zero-Day ist eine Schwachstelle, die der Hersteller noch nicht kennt (oder nicht gepatcht hat), sodass die Verteidiger „null Tage“ hatten, um sie zu beheben. Da kein Patch existiert, stützt sich die Abwehr auf geschichtete Maßnahmen, verhaltensbasierte Erkennung, Segmentierung, Least Privilege und schnelle Incident Response statt auf eine Signatur.
Definieren Sie die gängigen Malware-Kategorien und erklären Sie, wie Sie ein Sample anhand seines Verhaltens klassifizieren.
Man klassifiziert danach, wofür das Sample gebaut ist, beobachtet aus seinem Verhalten und seinen Fähigkeiten. Ein Dropper trägt eine Payload und schreibt sie auf die Festplatte; ein Loader holt oder injiziert die nächste Stufe, oft nur im Speicher; ein RAT gibt einem Operator interaktive Fernsteuerung; ein Wiper zerstört Daten oder Boot-Records ohne Wiederherstellungsabsicht; Ransomware verschlüsselt Dateien und fordert Zahlung. Echte Samples kombinieren oft Rollen — ein Loader, der ein RAT ausliefert — daher beschreibt man die Fähigkeitskette, statt ein einziges Etikett zu erzwingen, und ordnet jedes Verhalten ATT&CK-Techniken zu.
Wann greifen Sie zu Ghidra oder IDA statt zu einem Debugger wie x64dbg, und wie ergänzen sie sich?
Ein Disassembler wie Ghidra oder IDA liefert die vollständige statische Karte: Querverweise, dekompilierten Pseudocode und jeden Codepfad, ob er ausgeführt wird oder nicht. Ein Debugger wie x64dbg lässt Sie das Sample kontrolliert ausführen — Haltepunkte setzen, Register und Speicher prüfen, die Entschlüsselung beobachten und den Pfad verfolgen, den der Code mit echten Eingaben tatsächlich nimmt. Man liest Struktur und Absicht statisch, hängt dann den Debugger an, um aufzulösen, was die statische Analyse nicht kann: zur Laufzeit entschlüsselte Strings, dynamisch aufgelöste APIs, gepackte Payloads und welchen Zweig eine Bedingung nimmt. Beide zusammen schließen ihre gegenseitigen Lücken.
Was sind die Anzeichen für Command-and-Control-Beaconing, und wie extrahiert man C2-Indikatoren aus einem Sample?
Command-and-Control-Beaconing ist der Implant, der periodisch nach Hause ruft, um Anweisungen zu erhalten. Man erkennt es an regelmäßigen, volumenarmen ausgehenden Rückrufen in etwa festem Intervall — oft mit Jitter, um nicht mechanisch zu wirken — zu einer kleinen Menge von Zielen, häufig über HTTP/HTTPS oder DNS mit kodierten oder verschlüsselten Payloads und einem unverwechselbaren User-Agent- oder URI-Muster. Indikatoren extrahiert man statisch, indem man Domains, IPs, URIs und Schlüssel aus Strings und Konfigurationsblöcken zieht, und dynamisch, indem man das Sample gegen ein gefälschtes Netzwerk detoniert und die tatsächlichen Rückrufe erfasst, dann ordnet man das Verhalten ATT&CK zu und speist die IOCs in die Erkennung ein.
Was sind Packer und Obfuskation, und wie erkennt man sie in einem Binary?
Packen komprimiert oder verschlüsselt die eigentliche Payload und stellt ihr einen Stub voran, der sie zur Laufzeit in den Speicher entpackt; Obfuskation transformiert Code oder Daten, um dem Lesen und Signaturen zu widerstehen. Packen erkennt man an hoher Sektionsentropie nahe 8,0, einer winzigen oder nur aus dem Stub bestehenden Importtabelle, ungewöhnlichen oder schreib-ausführbaren Sektionsnamen wie UPX0, einem Einsprungpunkt außerhalb von .text, einer großen virtuellen Größe gegenüber einer kleinen Rohgröße sowie Detektoren wie Detect It Easy oder PEiD. Keines davon ist allein schlüssig, daher wägen Analysten mehrere Signale zusammen ab und bestätigen, indem sie das Entpacken zur Laufzeit beobachten.
Führen Sie mich durch das Windows-PE-Dateiformat und welche Teile Sie beim Triage eines Samples untersuchen.
Eine PE-Datei beginnt mit dem DOS-Header und seinem e_lfanew-Zeiger auf die PE/NT-Header, die den File Header und den Optional Header enthalten (Einsprungpunkt, Image Base, Subsystem). Sie ist in Sektionen unterteilt — .text für Code, .data, .rdata, .rsrc für Ressourcen — jede mit virtueller Adresse und Rohgröße. Beim Triage liest man die Importtabelle nach verdächtigen APIs, die Sektionstabelle nach seltsamen Namen und hoher Entropie, die auf Packen hindeuten, den Timestamp und den Rich Header, eingebettete Ressourcen und jede digitale Signatur. Diskrepanzen zwischen diesen verraten viel, noch bevor man die Datei ausführt.
Erklären Sie gängige Prozessinjektions-Techniken und die API- und Verhaltenssignaturen, die sie verraten.
Prozessinjektion führt bösartigen Code in einem anderen Prozess aus, um sich zu verstecken und dessen Vertrauen zu erben. Die klassische Remote-Injektion reserviert Speicher in einem Ziel mit VirtualAllocEx, schreibt eine Payload per WriteProcessMemory und führt sie mit CreateRemoteThread aus. Varianten umfassen DLL-Injektion per LoadLibrary, Process Hollowing, das einen suspendierten legitimen Prozess aushängt und sein Image ersetzt, APC-Injektion, die Code in einen Thread einreiht, und reflektives oder manuell gemapptes Laden, das LoadLibrary ganz vermeidet. Man erkennt sie an den verräterischen API-Sequenzen, RWX-Speicher in einem normalerweise sauberen Prozess, Threads ohne Backing-Datei auf der Festplatte und Eltern-Kind-Anomalien.
Beschreibe, wie du ein isoliertes Labor aufbaust, um Live-Malware sicher zu analysieren.
Ein sicheres Labor isoliert die Malware von allem, das sie schädigen könnte. Du führst Samples in wegwerfbaren VMs auf einem Hypervisor aus, erstellst saubere Snapshots, sodass du nach jeder Detonation zurücksetzen kannst, und kappst echten Netzwerkzugang über ein Host-Only-Netzwerk mit simuliertem Internet (INetSim oder FakeNet) oder ein air-gapped Segment. Du trennst die Analyse-Maschine von einem kontrollierten Gateway, analysierst nie auf deinem Alltags-Host, härtest gegen VM-Escape, behandelst Samples als passwortgeschützte ZIPs und hältst Werkzeuge und Indikatoren von der Detonations-VM fern. Das Ziel ist, echtes Verhalten zu beobachten und zugleich zu garantieren, dass das Sample weder die Produktion noch das Internet erreichen kann.
Wie erkennt und umgeht Malware Analyse-Sandboxes, und wie wirkst du dem entgegen?
Sandbox-bewusste Malware prüft, ob sie beobachtet wird, bevor sie sich fehlverhält. Sie sucht nach VM- und Hypervisor-Artefakten (Treiber, MAC-Präfixe, Registry-Schlüssel, CPUID), nach Analyse-Werkzeugen und Debuggern (Prozessnamen, IsDebuggerPresent, Timing des Single-Steppings) und nach Anzeichen eines echten Benutzers (wenige Prozesse, keine zuletzt verwendeten Dokumente, keine Mausbewegung, niedrige Uptime, kleine Festplatte). Sie kann mit langen Sleeps verzögern oder nur an einem bestimmten Datum, in einer bestimmten Sprache oder Domäne auslösen. Analysten wirken dem entgegen, indem sie die VM so härten, dass sie echt aussieht, die Prüfungen herauspatchen, Sleeps vorspulen, Benutzeraktivität simulieren und das Verhalten mit statischem Disassembly bestätigen.
Führe mich durch deine zentralen Werkzeuge für statische gegenüber dynamischer Malware-Analyse und wann du jedes einsetzt.
Statische Werkzeuge lesen das Sample im Ruhezustand: PEStudio, CFF Explorer und pefile für Header und Imports, FLOSS und strings für eingebetteten Text, capa für das Mapping von Fähigkeiten und Ghidra oder IDA für Disassembly. Dynamische Werkzeuge beobachten es bei der Ausführung in einer isolierten VM: Procmon und Process Hacker für Host-Aktivität, Wireshark und INetSim oder FakeNet für ein gefälschtes Netzwerk, Regshot für Vorher/Nachher-Diffs und x64dbg für kontrolliertes Stepping. Der Workflow ist: statisch triagieren, dynamisch detonieren und dann zum Disassembler zurückkehren, um Verhaltenslücken zu füllen.
Beschreibe, wie du ein gepacktes Sample entpackst, um den ursprünglichen Code zu erreichen.
Entpacken stellt den ursprünglichen Code wieder her, den der Packer verborgen hat. Für bekannte Packer nutzt du den passenden Unpacker oder einen Emulator. Für eigene Packer entpackst du manuell: Führe das Sample in einem Debugger aus, lass den Stub die Payload in den Speicher dekomprimieren, finde den Moment, in dem er zum ursprünglichen Entry Point springt (oft durch Breakpoint auf Speicher, der ausführbar wird, oder auf den Tail-Jump), dumpe dann das Prozess-Image aus dem Speicher und baue die Import Address Table mit einem Werkzeug wie Scylla oder PE-sieve wieder auf. Das Ergebnis ist eine lauffähige oder analysierbare PE, die die echte Payload enthält.
Erklären Sie, wie YARA-Regeln funktionieren und was eine Regel wirksam macht statt fragil oder rauschanfällig.
Eine YARA-Regel besteht aus einem meta-Block, einem strings-Abschnitt (Text-, Hex- oder Regex-Muster mit Wildcards und Sprüngen) und einer Bedingung, die diese Treffer mit boolescher und Zähllogik kombiniert. Eine wirksame Regel stützt sich auf etwas Dauerhaftes und Unverwechselbares — einen einzigartigen Code-Stub, einen Mutex-Namen, einen Konfigurationsmarker oder eine ungewöhnliche Import-Kombination — statt auf Werte, die ein Angreifer trivial ändert wie einen einzelnen Hash oder einen generischen String. Man wägt Spezifität gegen Fehlalarme ab, testet gegen einen sauberen Korpus und dokumentiert die Regel, damit andere ihr vertrauen und sie pflegen.
Wie findest und nutzt du gefahrlos einen öffentlichen Exploit gegen ein Ziel?
Bestimme den genauen Dienst und die Version, suche auf Exploit-DB oder mit searchsploit nach einem passenden PoC und lies dann den Code Zeile für Zeile, bevor du ihn ausführst — korrigiere die Ziel-IP, den Port und die Reverse-Shell-Adresse, generiere jeglichen Shellcode neu und verstehe, was er tut, damit er sich nicht gegen dich wenden kann.
Erhalte 100 Cybersecurity-Interviewfragen + Antworten
Gib deine E-Mail-Adresse ein und wir senden dir das kostenlose PDF-Paket und das Flashcard-Deck.
Kein Spam. Jederzeit abbestellbar.