Ein Crypter ist ein Werkzeug, das Schadsoftware (Malware) verschlüsselt oder anderweitig verschleiert, damit Sicherheitsprogramme sie beim Scannen nicht als Bedrohung erkennen. Der Begriff kommt aus dem Englischen „to crypt" (verschlüsseln). Crypters sind ein zentraler Baustein moderner Malware-Kampagnen und werden oft als Dienstleistung vermietet.
Wie ein Crypter funktioniert
Ein Crypter umhüllt die eigentliche Schadsoftware mit einer Hülle (Stub). Beim Scannen der Datei auf der Festplatte sieht der Virenscanner nur die verschlüsselte Hülle und keine bekannte Signatur — die Datei wirkt harmlos. Erst zur Laufzeit entschlüsselt der Stub den Code im Arbeitsspeicher und führt ihn aus. Man unterscheidet zwei Angriffspunkte:
- Scantime-Evasion: Die Datei auf der Platte umgeht Signatur- und statische Heuristik-Scans.
- Runtime-Evasion: Der entschlüsselte Code läuft direkt im Speicher, oft ohne jemals als Datei auf der Platte zu existieren — ähnlich wie bei Fileless-Malware.
Abgrenzung: Packer, Crypter, Protector
Die Begriffe werden häufig vermischt. Ein Packer komprimiert oder restrukturiert ein Programm und stellt es zur Laufzeit wieder her. Ein Crypter konzentriert sich auf das Verbergen von Code durch Verschlüsselung und Verschleierung. Ein Protector kombiniert beides und ergänzt Schutzmechanismen wie Anti-Debugging, Anti-Virtualisierung und Integritätschecks, um Reverse Engineering zu erschweren. In der Praxis sind die Übergänge fließend — viele polymorphe Schadprogramme verändern zudem bei jeder Verbreitung ihr Aussehen.
Crypter in der Angriffskette
Threat Actors setzen Crypters ein, um Trojaner, Ransomware oder Loader an Antiviren-Erkennung vorbeizubringen. Kriminelle Crypting-Dienste („Crypter-as-a-Service") werden im Abo oder pro Auftrag vermietet und regelmäßig aktualisiert, damit die verschleierten Dateien gegen neue Virensignaturen „FUD" (Fully Undetectable) bleiben. Sie sind damit Teil des Malware-as-a-Service-Ökosystems. Auch Ransomware-Builder enthalten oft eine integrierte Crypting-Stufe, die jede erzeugte Probe neu verschlüsselt.
Abwehr
Reine Signatur-Scans laufen gegen Crypting zunehmend ins Leere. Wirksamer sind Verhaltensanalyse und Endpoint Detection and Response (EDR), das Ausführen verdächtiger Dateien in Sandboxen sowie Threat Intelligence über aktuelle Crypting-Dienste. Security Researcher untersuchen gecryptete Proben, um die dahinterliegenden Familien zu identifizieren.