Ein Packer ist ein Werkzeug, das ein Programm – hier Malware – komprimiert und oft zusätzlich verschlüsselt, damit Sicherheitssoftware die eigentliche Schadfunktion beim Scan nicht erkennt. Bekannteste Beispiele sind UPX, ASPack, Themida und VMProtect.
So funktioniert ein Packer
Der Packer verpackt den ursprünglichen Code in einer neuen ausführbaren Datei und fügt eine kleine Entpack-Routine (Stub) hinzu. Beim Scannen auf der Festplatte sieht der Virenscanner nur die komprimierten, strukturlosen Daten und keine bekannte Signatur. Erst zur Laufzeit entpackt der Stub den Code im Arbeitsspeicher und übergibt die Kontrolle an die eigentliche Schadfunktion – ähnlich wie bei Fileless-Malware existiert der schädliche Code damit oft nur im Speicher.
Legitime Software nutzt Packer, um Programme zu verkleinern oder zu schützen. Schadsoftware missbraucht sie, um Analyse und Erkennung zu erschweren: Viele Malware-Familien verwenden modifizierte UPX-Versionen, deren Header das Standard-Unpacking absichtlich brechen.
Erkennung: Entpacken und Speicheranalyse
Statische Analyse kommt an gepackten Dateien nicht weit. Sicherheitsforscher erkennen den Packer zunächst an charakteristischen Mustern (Tools wie DIE oder PEiD), entpacken die Datei dann mit dem Original-Packer oder speziellen Unpacking-Werkzeugen und analysieren den freigelegten Code. Ergänzend hilft Speicher-Forensik, weil sich der entpackte Schadcode zur Laufzeit im RAM nachweisen lässt.
Abgrenzung: Ein Crypter konzentriert sich auf das Verbergen durch Verschlüsselung, ein Packer auf Kompression und Wiederherstellung, ein Protector kombiniert beides mit Anti-Debugging und Integritätschecks. Packer verändern den Code nicht selbst – die höheren Stufen der Selbsttarnung sind polymorphe Malware (mutierender Decryptor) und metamorphe Malware (kompletter Selbst-Umschrieb), während oligomorphe Malware nur wenige feste Decryptor-Varianten kennt.
Verwandte Grundlagen: Malware, Dropper, Loader-Malware, Crypter.