Polymorphe Malware verändert bei jeder Verbreitung ihr Erscheinungsbild, während die Schadfunktion dieselbe bleibt. Sie ist ein Werkzeug gegen die klassische Malware-Erkennung per Signatur.
Wie polymorphe Schadsoftware funktioniert
Das Grundprinzip ist Verschlüsselung: Der eigentliche Schadcode liegt verschlüsselt in der Datei. Eine kleine Entschlüsselungsroutine entschlüsselt ihn zur Laufzeit und führt ihn aus. Bei jeder neuen Generation erzeugt eine Mutations-Engine eine frische Entschlüsselungsroutine: Sie tauscht Anweisungen aus, fügt nutzlose NOPs ein, vertauscht Register und wechselt den Verschlüsselungsschlüssel. Dadurch entsteht pro Exemplar eine andere Bytefolge und ein anderer Hash.
Genau diese Bytefolge ist die Grundlage von Signatur-Erkennung: Antivirus-Programme vergleichen Dateien mit bekannten Mustern. Da jede polymorphe Generation anders aussieht, greift eine feste Signatur nicht mehr. Die Kehrseite aus Angreifersicht: Nach der Entschlüsselung liegt der Code offen im Speicher, weshalb moderne Abwehr auf Verhalten, Heuristik, Sandbox-Analyse und EDR setzt.
Beispiele und Abgrenzung
Eines der ersten polymorphen Viren war 1990 der 1260; der Storm-Wurm (2007) verbreitete sich über polymorphe E-Mail-Anhänge. Verwandte Stufen der Selbsttarnung: oligomorphe Malware kennt nur wenige feste Varianten, metamorphe Malware schreibt ihren gesamten Code um und ist damit strukturell anders — ohne festen Kern, den eine Entschlüsselung offenlegen könnte. Polymorphe Technik begegnet heute oft kombiniert mit Fileless-Malware und Droppern.
Verwandte Grundlagen: Virus, Würmer, Infostealer.