Forschungsfeld · Binäranalyse & Forensik Agentic
Vom Binary zum Angriffspfad: Schadcode verstehen, Erkennung ableiten
Eine Malware-Analyse ist erst abgeschlossen, wenn aus dem verstandenen Verhalten Erkennung wird. Wir verbinden KI-gestütztes Reverse Engineering mit forensischer Praxis: Spezialisierte Agenten in VamiReverse arbeiten Analysten zu, die Regeln, IOCs und die Zuordnung zu MITRE ATT&CK prüfen – bis zum Compromise Assessment, das Ihre Umgebung nach genau diesen Spuren absucht.
- Multi-Agenten-Analyse
- APK · PE/ELF · .NET
- YARA · Sigma · Suricata
- IOCs & MITRE ATT&CK
- Frida
- Compromise Assessment
- Honeypots & Deception
- Deep Dives
- 4
- Whitepaper
- 0
- Lösungen
- 1
Warum Analyse erst mit Erkennung und Bereinigung endet
Angreifer bleiben oft unbemerkt: Laut Mandiant M-Trends 2026 lag die globale mediane Verweildauer im Jahr 2025 bei 14 Tagen, nur 52 % der untersuchten Vorfälle wurden intern erkannt. Eine einzelne Probe beantwortet dabei wenig. Gebraucht werden Verhalten, Persistenzmechanismen und Kommunikationswege, Indikatoren, nach denen sich die eigene Umgebung absuchen lässt, und daraus abgeleitete Erkennungsregeln.
VamiReverse setzt hier an: Spezialisierte Agenten bauen auf selbst betriebenen Werkzeugen wie Ghidra, ILSpy und jadx auf und analysieren Android-Apps (APK) sowie Windows- und Linux-Programme (PE/ELF, inklusive .NET). Sie liefern KI-annotierten Pseudocode, Verhaltensanalyse, Schwachstellen-Hypothesen, YARA-, Sigma- und Suricata-Regeln, IOCs und die ATT&CK-Zuordnung. Android-Apps lassen sich mit Frida in Sandbox und Emulator dynamisch untersuchen; die KI schlägt vor, Analysten prüfen.
Wie solche Indikatoren aussehen, zeigt unser Lagebild vom 31. Oktober 2026 zur manipulierten Claude-Code-Erweiterung: ein SSH-Schlüssel mit dem Kommentar svc-telemetry, der LaunchAgent com.apple.sysmond beziehungsweise die geplante Aufgabe SysMon und ausgehende Verbindungen zu einem Server der Angreifer. Die Angaben stützen sich auf die Sicherheitsmeldung von Cursor und Analysen von OpenSourceMalware und StepSecurity – genau die Art von Spuren, nach denen ein Compromise Assessment sucht.
Offene Fragen der Praxis
- 01
Wie weit lässt sich Malware-Analyse an KI-Agenten delegieren?
Unser Ansatz
So weit, wie Analysten die Ergebnisse prüfen. In VamiReverse arbeiten spezialisierte Agenten den Analysten zu, statt sie zu ersetzen: Sie ordnen Verhalten ein, schlagen Regeln vor und erstellen einen Analysebericht. Betrieben wird die Plattform als SaaS auf T Cloud Public in ausschließlich deutschen Rechenzentren oder auf Anfrage On-Prem; das LLM ist wählbar, ein KI-Training mit Kundendaten findet nicht statt.
- 02
Wann genügt ein IOC-Sweep, und wann braucht es eine verhaltensorientierte Suche?
Unser Ansatz
IOC-Sweeps gleichen forensische Artefakte mit bekannten Indikatoren wie Datei-Hashes, IP-Adressen und Domains ab; sie finden, was bereits bekannt ist. TTP-basierte Analysen suchen entlang MITRE ATT&CK nach Angriffstechniken und erfassen so auch Aktivität ohne bekannte Signatur. Im Compromise Assessment kombinieren wir beides mit EDR-Telemetrie; auffällige Treffer validieren Analysten manuell.
- 03
Was bleibt nach dem Entfernen einer manipulierten Erweiterung auf dem Rechner zurück?
Unser Ansatz
Im Fall der Claude-Code-Erweiterung blieben SSH-Schlüssel, Skripte und ein LaunchAgent oder eine geplante Aufgabe nach der Deinstallation bestehen. Die Reihenfolge zählt: Rechner trennen und Spuren sichern, Persistenz entfernen, dann die bereinigte Version installieren und von einem sauberen Rechner aus Zugangsdaten tauschen. Ein Compromise Assessment klärt anschließend, ob es Folgeaktivitäten gab.
- 04
Was verraten Honeypots über die Werkzeuge eines Angreifers?
Unser Ansatz
Das hängt von der Interaktionstiefe ab. Low-Interaction-Honeypots emulieren Dienste nur oberflächlich und liefern begrenzte Einblicke. High-Interaction-Honeypots stellen reale Systeme bereit und erlauben tiefe Analysen von Werkzeugen und Vorgehensweisen, verlangen aber deutlich mehr Absicherung. Damit ein kompromittierter Köder nicht zum Sprungbrett wird, begrenzen wir ausgehenden Verkehr strikt.
Was wir festhalten
- 01
Schon die Namen von Umgebungsvariablen verraten Zugänge
Der Loader der manipulierten Claude-Code-Erweiterung saß am Anfang von extension.js, vor dem eigentlichen Code, und lief bereits beim Laden; eine Unterhaltung mit Claude war nicht nötig. Übertragen wurden ein Steckbrief des Rechners und die Namen von Umgebungsvariablen, nach bisherigen Analysen nicht ihre Werte. Schon diese Namen verraten, wo Zugänge liegen.
- 02
Ein negatives Ergebnis gilt nur für die verfügbaren Daten
Ein Compromise Assessment liefert eine Momentaufnahme für einen definierten Scope und Zeitraum. Findet es keine Angreiferaktivität, belegt das keine absolute Kompromittierungsfreiheit. Viele Assessments liefern zudem strukturelle Befunde: Lücken in Protokollierung und Sensorik, zu kurze Log-Aufbewahrung – Schwächen, die eine spätere forensische Aufarbeitung erschweren.
Beleg: Compromise Assessment
- 03
Vorfalldaten sind Beweismittel – auch ohne Strafverfolgung
Nach NIST SP 800-61 Rev. 3 sind Integrität und Provenienz gesammelter Vorfalldaten zu wahren; ISO/IEC 27037 beschreibt dafür Identifikation, Sammlung, Erhebung und Bewahrung mit Hashwerten und Chain of Custody. Für die Analyse heißt das: flüchtige Daten wie Arbeitsspeicher zuerst sichern und kompromittierte Systeme nicht vorschnell neu aufsetzen, denn das zerstört Beweise.
Beleg: Incident Response
- 04
Erkennungsqualität schlägt Abdeckungsgrad
MITRE ATT&CK katalogisiert beobachtete Techniken, ist aber weder Maßnahmenkatalog noch Compliance-Checkliste. Coverage-Heatmaps können Scheinsicherheit erzeugen, wenn viele schwache Regeln Techniken nur nominell abdecken. Regeln aus der Malware-Analyse wirken erst, wenn die passende Datenquelle gesammelt und die Erkennung gegen reales Angreiferverhalten geprüft ist.
Beleg: MITRE ATT&CK
Wie wir vorgehen
Statische und dynamische Analyse liefern Hypothesen. Belastbar werden sie erst durch die Prüfung der Analysten, die Zuordnung zu MITRE ATT&CK und die Suche in der betroffenen Umgebung.
Agentische Binäranalyse
Spezialisierte Agenten auf Ghidra, ILSpy und jadx: KI-annotierter Pseudocode, Verhaltensanalyse und Schwachstellen-Hypothesen für APK sowie PE/ELF inklusive .NET.
Dynamische Android-Analyse
Android-Apps werden mit Frida in Sandbox und Emulator ausgeführt und zur Laufzeit untersucht.
Erkennungsregeln & IOCs
YARA-, Sigma- und Suricata-Regeln, Indicators of Compromise und die Zuordnung zu MITRE ATT&CK als prüfbares Ergebnis der Analyse.
IOC- und TTP-Sweeps
Forensische Artefakte gegen bekannte Indikatoren abgleichen und verhaltensorientiert nach Angriffstechniken suchen, ergänzt um EDR-Telemetrie und manuelle Validierung.
Beweissicherung nach ISO/IEC 27037
Identifikation, Sammlung, Erhebung und Bewahrung digitaler Beweismittel – mit Arbeitskopien, Hashwerten und lückenloser Chain of Custody.
Honeypots & Honeynets
Realistisch wirkende Köder in isolierten Honeynet-Segmenten, um die Techniken von Angreifern zu beobachten – strikt vom Produktivnetz getrennt, Deception endet an der eigenen Netzgrenze.
So starten Sie
- 1Artefakt sichern und zerlegenProbe forensisch sauber sichern, statisch und dynamisch analysieren und Verhalten, Persistenz und Kommunikationswege herausarbeiten.
- 2Erkennung ableiten und prüfenAnalysten prüfen die Vorschläge der Agenten und leiten Regeln, IOCs und die ATT&CK-Zuordnung ab – nachvollziehbar dokumentiert im Analysebericht.
- 3Umgebung absuchen und bereinigenIOC- und TTP-Sweeps im Compromise Assessment; bei aktiver Kompromittierung strukturierter Übergang in die Incident Response mit Bereinigung und Tausch der Zugangsdaten.
Deep Dives, Whitepaper und Analysen
Deep Dives 4
Vom Feld in die Umsetzung
Verwandte Forschungsfelder
Verdächtige Datei oder auffälliges Verhalten im Netz?
Wir analysieren Proben, prüfen Ihre Umgebung im Compromise Assessment und begleiten die Bereinigung. Bei akutem Verdacht ist unser CSIRT unter csirt@vamisec.com jederzeit erreichbar.