Die Abwehr von Schad-Software ist ein ständiges Hase-Igel-Rennen. G Data will mit DeepRay die Rolle des Igels übernehmen, welcher immer schon da ist, wenn der Hase ankommt.

Der Virenwächter analysiert dazu Dateien mit KI-Methoden, die vor allem darauf abzielen, eigentlich bekannte, aber getarnte, Malware zu entdecken.

Jenes kündigt G Data an mit: "Künstliche Intelligenz bringt Durchbruch in der Bekämpfung von Cybercrime". Darüber hinaus triggern sie mit den Schlüsselbegriffen "Durchbruch", "KI" und "Cybercrime" in einem Satz erst einmal die mühsam antrainierte Spam-Erkennung manch echter Intelligenz. Doch hinter DeepRay steckt ein durchaus valider Ansatz, welcher auf der Erkenntnis, dass die Kriminellen ihre Schad-Software keineswegs ständig neu schreiben, beruht. Der bewährte Code mit den Kern-Funktionen wird statt dessen nur immer wieder neu verpackt, um ihn an der AV-Software vorbei zu schleusen.

Die von der AV-Software untersuchte Datei enthält damit den Schad-Code nur in verschlüsselter Form. Später findet sich dieser dann in entschlüsselter Form im Arbeitsspeicher. Doch der Wächter kann den Arbeitsspeicher schon aus Ressourcengründen nicht ständig überwachen. Die Aufgabe von DeepRay ist es, möglichst zuverlässig das verdächtige Entpacken von Code mit Methoden aus der KI-Forschung zu erkennen. Dabei ist ein kontinuierlich trainiertes neuronales Netz ein zentrales Element. Sobald diese Erkennung anschlägt, erfolgt eine Analyse des Arbeitsspeichers, die dort nach bekannten Mustern von Schad-Software sucht. Der Virenwächter stoppt den Prozess, wenn dabei Schadcode entdeckt wird.

Der Virenwächter untersucht dabei nicht nur den Speicher des aktuell verdächtigten Prozesses, sondern auch all diejenigen Prozesse, auf die dieser zugegriffen hat, um dort beispielsweise Speicher zu reservieren. Hinter dieser Vorgehensweise steckt die Erkenntnis, dass Malware ihren Schad-Code häufig in andere, scheinbar harmlose Prozesse des Systems injiziert.

Ab sofort soll diese Schutzfunktion als Update an G-Data-Kunden verteilt werden. Damit wird sie die herkömmlichen Techniken wie die Erkennung mit Signaturen und Heuristik ergänzen.

(jf, hannover)

(siehe auch Heise News-Ticker:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE