Ein Obfuskator ist ein Werkzeug oder eine Technik, die Code so umformt, dass er für Menschen und Analyseprogramme schwer zu verstehen ist – ohne seine Funktion zu verändern. Im Malware-Umfeld dient Obfuskation dazu, Malware an Signatur-Erkennung und Reverse Engineering vorbeizubringen. Der Begriff kommt vom lateinischen „obfuscare“ (verdunkeln).
Typische Obfuskations-Techniken
- String-Verschlüsselung: URLs, Registry-Pfade und Befehle liegen nicht im Klartext, sondern werden erst zur Laufzeit entschlüsselt – dadurch fehlen statischen Scannern die Suchbegriffe.
- Control-Flow-Flattening: Der Programmablauf wird in kleine Blöcke zerlegt, die eine zentrale Dispatcher-Schleife in scheinbar zufälliger Reihenfolge ausführt; die eigentliche Logik ist nur noch schwer nachzuvollziehen.
- Opake Prädikate: Bedingungen, die immer wahr oder immer falsch sind, aber nicht als solche erkennbar sind, blähen den Code auf und verwirren Analysen.
- Dead-Code-Insertion: Nutzloser Code wird eingefügt, um die Datei größer und unübersichtlicher zu machen.
- API-Hashing: Windows-API-Namen werden durch berechnete Hashwerte ersetzt, damit Aufrufe von Sicherheitsfunktionen nicht direkt sichtbar sind.
Dual-Use: Legitimer Schutz und Malware
Obfuskation ist ein Dual-Use-Verfahren: Legitime Software nutzt sie, um geistiges Eigentum zu schützen (zum Beispiel Obfuscator-LLVM für C/C++ oder ProGuard für Java und Android). Schadsoftware missbraucht dieselben Techniken, um Analyse und Erkennung zu erschweren – der bekannte Banking-Trojaner Zeus kombinierte Kontrollfluss-Verschleierung, Dead-Code-Einfügung und String-Verschlüsselung, Emotet setzte Control-Flow-Flattening ein.
Die Abgrenzung zu verwandten Werkzeugen: Ein Crypter versteckt Code durch Verschlüsselung, ein Packer durch Kompression, ein Protector kombiniert beides mit Anti-Analyse-Schutz – ein Obfuskator formt den Code selbst um, ohne ihn zu komprimieren oder zu verschlüsseln. Bei polymorpher und metamorpher Malware übernimmt eine Mutations-Engine diese Umformung automatisch bei jeder Generation.
Abwehr
Reine Signatur-Scans laufen gegen obfuskierte Proben ins Leere. Wirksamer sind Verhaltensanalyse, Emulation und Sandbox-Ausführung (siehe Sandbox) sowie Endpoint Detection and Response (EDR). Sicherheitsforscher deobfuskieren Proben, indem sie die Transformationen schrittweise rückgängig machen, bis der eigentliche Code sichtbar wird.
Verwandte Grundlagen: Crypter, Packer (Malware), Downloader, Protector.