Behavior Blocker stopft die Virenscanner-Lücke mit Verhaltensanalyse

"Mamutu 2.0" spürt auch neue, noch unbekannte Schädlinge auf und legt sie still

(31.07.09) - Die Online-Mafia schläft nicht. Immer ausgeklügelter und intelligenter werden ihre Viren, Trojaner und Spionage-Programme, die allesamt versuchen, den Rechner des Anwenders zu infiltrieren - in der Regel, um Passwörter, Bankverbindungen und persönliche Daten in Erfahrung zu bringen. Klassische Virenscanner und Anti-Spyware-Programme arbeiten oft nur Signaturen-basiert. Das bedeutet, dass sie virtuelle Fingerabdrücke der aufzuspürenden Schädlinge verwalten und durch einen direkten Vergleich der Dateicodes Schädlinge enttarnen.

Jeden Tag werden neue Schadprogramme entdeckt. Bis ihr "Fingerabdruck" in den Signaturen-Datenbanken verarbeitet ist, sind die Rechner ungeschützt einer Attacke ausgesetzt. Hier bietet "Mamutu" seine Dienste als "Behavior Blocker" an. Das Programm stellt eine intelligente Verhaltensanalyse, die genau aufpasst, welche Tätigkeiten eine Software auf dem eigenen Rechner ausführt. Kommt es zu einem verdächtigen Verhalten, so wird dieses sofort eingefroren und gemeldet. Der Anwender kann dann selbst entscheiden, was passieren soll.

Mamutu meldet ein verdächtiges Verhalten etwa dann, wenn eine Software Code in andere Programme einschleust, die bereits vorhandene Software über einen Patch manipuliert, unsichtbar im Hintergrund neue Programme installiert, Rootkit-Prozesse auslöst oder neue Dienste und Treiber einrichtet. Auch beim Erstellen von Autostart-Einträgen und bei simulierten Maus- und Tastatur-aktivitäten kann das Malware Intrusion Detection System (Malware-IDS) von Mamutu anspringen.

Christian Mairoll, Geschäftsführer der Emsi Software GmbH: "Ziel ist es für uns, nicht möglichst viel, sondern möglichst wenige Alarme auszulösen. Im Gegensatz zu einem typischen HIPS-Programm (=Host Intrustion Protectopn System), das nahezu alles meldet, ohne das genaue Verhalten kombiniert zu analysieren, meldet sich Mamutu nur dann, wenn nahezu gesichert ist, dass es sich bei einem Programm um eine echte Gefahr handelt."

Mamutu ersetzt keinen Virenscanner und kein Anti-Spyware-Programm, sondern füllt die letzte Sicherheitslücke. So arbeitet die Software auch bestens mit allen etablierten Schutzprogrammen zusammen. Da es nur wenige Ressourcen belegt, leidet auch die Performance des Rechners nicht unter dem zusätzlichen Wächter.

Christian Mairoll: "Kurios: Wer befürchtet, dass sein Antivirenprogramm eine heimliche Hintertür für die Arbeit von Regierungsspionageprogrammen offen lässt, wirft diese Tür mit Mamutu wieder zu. Der Behavior Blocker kann nicht unterscheiden, woher ein Spionageprogramm kommt, da es ja nicht mit Signaturen arbeitet. Entsprechend meldet es jedes schädliche Verhalten, egal, ob dieses legale oder illegale Ursachen hat."

In der neuen Version 2.0 gibt es zwei wichtige Neuerungen bei Mamutu. Es kommt zu weniger Fehlalarmen und das Alarm-Fenster wurde überarbeitet.

· Reduzierte Fehlalarme: Mamutu verwendet eine Vielzahl verschiedener Filtersysteme, um Fehlalarme zu vermeiden. Dazu zählen eine eigene Community (Cloud Technology), technische Datei-Analysefilter und der Zertifikat-Check. Letzterer erkennt signierte und damit garantiert nicht manipulierbare Programme von vertrauenswürdigen Herstellern.

· Überarbeitete Alarmfenster: Alle ausgelösten Alarme werden ab sofort in zwei Kategorien unterteilt. Rote Alarme werden mit einem rot umrandeten Meldefenster markiert. Sie weisen auf ein sehr suspektes Verhalten hin und damit mit hoher Wahrscheinlichkeit auf das Wirken einer Malware (Backdoors, Würmer, Keylogger, Viren, Rootkits, Dialer etc.). Orangefarbene Alarmmeldungen haben einen eher informativen Charakter, melden aber Dinge, die der Anwender besser bewusst zur Kenntnis nimmt und per Mausklick absegnet. Dazu gehören etwa Änderungen der Autorun- oder Browser-Einstellungen, neu installierte Treiber und Systemdienste oder versteckte Installationen von Programmen.

Mamutu 2.0 läuft unter Windows 2000, XP, 2003 Server und Vista. Eine kostenlose 30-Tage-Testversion (4 MB) erlaubt es, das Programm auf dem eigenen Rechner auszuprobieren. Die Vollversion kostet 20 Euro. (Emsi: ma)