Malware und EDR

Malware ist einer der sechs Angriffstypen des Kartenduells, und EDR ist die Verteidigung, die ihn kontert. Hier erfährst du, wofür sie in der echten Sicherheit stehen, wie sie sich im Spiel gegenüberstehen, und findest alle 25 Karten.

Der Angriff: Malware

Malware ist der Sammelbegriff für Schadsoftware: Trojaner, Würmer, Ransomware, Keylogger, Rootkits, Spyware. Läuft sie einmal auf einem Computer, kann sie Daten stehlen, Dateien verschlüsseln, um Lösegeld zu fordern, einen versteckten Zugang öffnen oder sich auf andere Rechner ausbreiten. Oft kommt sie als harmlos wirkender Anhang oder Download, oder ein Angreifer installiert sie nach einem ersten Einbruch.

Die Verteidigung: EDR

EDR (Endpoint Detection and Response) ist die Weiterentwicklung des Virenschutzes: Statt nur nach Signaturen bekannter Malware zu suchen, beobachtet es das Verhalten von Programmen auf jedem Computer und Server (Prozesse, die tausende Dateien verschlüsseln, verdächtige Verbindungen, Systemänderungen) und kann den Rechner isolieren oder den Prozess stoppen. Zusammen mit dem Virenschutz und der Arbeit eines SOC ist es die wichtigste Abwehr gegen Malware.

Was was stoppt

EDR gegen Malware: halber Schaden. Malware muss auf einem Computer laufen, und genau dort beobachtet EDR ihr Verhalten und blockiert sie.
Malware gegen Schulung: doppelter Schaden. Läuft die Malware einmal, handelt und verbreitet sie sich von selbst: Sie fragt niemanden mehr um Erlaubnis.
Malware gegen Firewall: doppelter Schaden. Die Malware ist schon im Netzwerk und kommuniziert über erlaubte Ports, versteckt im normalen Webverkehr.
Scan gegen EDR: doppelter Schaden. EDR überwacht Programme auf den Computern, während der Scan von außen kommt und Netzwerkdienste abfragt.
DDoS gegen EDR: doppelter Schaden. Eine Welle von Datenverkehr führt kein Programm auf den Computern aus: Für EDR gibt es nichts zu blockieren.

In allen anderen Paarungen ist der Schaden normal.

Kombos mit Malware

Zustellung (Phishing → Malware, +2 Schaden): Die Köder-Nachricht bringt die Malware herein, wie bei den meisten echten Infektionen.
Eskalation (Exploit → Malware, +2 Schaden): Eine ausgenutzte Lücke ebnet den Weg für die Installation von Malware.
Persistenz (Malware → Malware, +1 Schaden): Bereits installierte Malware lädt weitere nach und versteckt sie.

Angriffskarten Malware (19)

Trojan

#007 · Angriff · Malware · ◆2 · Stärke 3 · Gewöhnlich · Arena 1 (Labor)

Ein Programm, das harmlos wirkt, aber dem Angreifer die Tür öffnet.

Keylogger

#018 · Angriff · Malware · ◆1 · Stärke 1 · Gewöhnlich · Arena 1 (Labor)

Zeichnet jeden Tastendruck auf. 2 Züge lang verliert der Gegner zu Zugbeginn 1 Integrität.

Worm

#009 · Angriff · Malware · ◆4 · Stärke 5 · Selten · Arena 3 (Rechenzentrum)

Malware, die sich selbst von Rechner zu Rechner verbreitet. Du ziehst eine Karte.

Backdoor

#022 · Angriff · Malware · ◆3 · Stärke 3 · Selten · Arena 3 (Rechenzentrum)

Ein versteckter Zugang, der im System zurückgelassen wurde. 3 Züge lang verliert der Gegner zu Zugbeginn 1 Integrität.

Cryptojacking

#031 · Angriff · Malware · ◆2 · Stärke 2 · Gewöhnlich · Arena 3 (Rechenzentrum)

Der Gegner hat 2 Züge lang 1 Bandbreite weniger.

Rootkit

#032 · Angriff · Malware · ◆4 · Stärke 4 · Selten · Arena 4 (SOC)

4 Züge lang verliert der Gegner zu Zugbeginn 1 Integrität.

Dateilose Malware

#097 · Angriff · Malware · ◆3 · Stärke 4 · Selten · Arena 4 (SOC)

Lebt nur im Arbeitsspeicher und schreibt keine Dateien auf die Platte, deshalb sehen signaturbasierte Virenscanner sie kaum. Gegnerische Verteidigungen im Spiel verlieren alle Fähigkeiten, solange sie im Spiel sind.

Ransomware as a Service

#100 · Angriff · Malware · ◆5 · Stärke 6 · Episch · Arena 4 (SOC)

Ransomware zur Miete: Entwickler und Partner teilen sich das Lösegeld. Zusätzlich 2 direkter Schaden am Core; 3 Züge lang verlieren gegnerische Verteidigungen zu Zugbeginn 1 Widerstand.

Beaconing

#186 · Angriff · Malware · ◆2 · Stärke 2 · Gewöhnlich · Arena 4 (SOC)

Die Malware ruft ihren Steuerungsserver in regelmäßigen Abständen: Genau diese Regelmäßigkeit verrät sie in den Logs. 2 Züge lang verliert der Gegner zu Zugbeginn 1 Integrität.

EDR-Umgehung

#191 · Angriff · Malware · ◆3 · Stärke 3 · Selten · Arena 4 (SOC)

Techniken, um dem Sensor des Endpunkts zu entgehen: Dagegen braucht man ein EDR, das Verhalten beobachtet, nicht nur Signaturen. Die schwächste gegnerische Verteidigung verliert 2 Widerstand.

Ransomware

#008 · Angriff · Malware · ◆5 · Stärke 7 · Episch · Arena 6 (Darknet)

Verschlüsselt Dateien und fordert Lösegeld. Trifft auch direkt den Core.

Infostealer

#204 · Angriff · Malware · ◆2 · Stärke 2 · Gewöhnlich · Arena 6 (Darknet)

Eine Malware, die im Browser gespeicherte Passwörter und Cookies mitnimmt. Gekontert durch MFA, kurze Sitzungen und keine Passwörter im Browser. Du ziehst eine Karte.

Doppelte Erpressung

#209 · Angriff · Malware · ◆6 · Stärke 8 · Episch · Arena 6 (Darknet)

Die Daten werden nicht nur verschlüsselt, sondern auch kopiert, mit der Drohung, sie zu veröffentlichen. Vorbereitet mit getrennten Backups und verschlüsselten ruhenden Daten. Zusätzlich 2 direkter Schaden am Core und der Gegner wirft 1 zufällige Karte ab.

Sich selbst verbreitender Wurm

#212 · Angriff · Malware · ◆6 · Stärke 7 · Legendär · Arena 6 (Darknet)

Er verbreitet sich von allein im ganzen internen Netz über eine ungepatchte Lücke: Segmentierung und Patches stoppen ihn. 2 Schaden an allen gegnerischen Verteidigungen und 2 direkter Schaden am Core.

SCADA-Sabotage

#220 · Angriff · Malware · ◆7 · Stärke 8 · Legendär · Arena 7 (Cyber Range)

Eine Malware verändert die Steuerungen einer Anlage, während die Anzeigen normale Werte zeigen. Verhindert durch abgetrennte OT-Netze und geprüfte Firmware. Ignoriert Gegenmaßnahmen und macht 2 Schaden an allen gegnerischen Verteidigungen.

Wiper

#033 · Angriff · Malware · ◆7 · Stärke 9 · Episch · Arena 8 (Zero-Day)

Der Gegner wirft 2 zufällige Karten ab.

Kernel-Rootkit

#171 · Angriff · Malware · ◆5 · Stärke 5 · Episch · Arena 8 (Zero-Day)

Malware, die sich im Herzen des Betriebssystems einnistet und abschaltet, was es kontrollieren sollte. Löst einen Zauber des Gegners auf (den teuersten) und die stärkste gegnerische Verteidigung verliert 1 Widerstand.

Dependency Confusion

#227 · Angriff · Malware · ◆5 · Stärke 5 · Episch · Arena 8 (Zero-Day)

Ein öffentliches Paket mit dem Namen eines internen wird an dessen Stelle installiert. Vermieden durch private Registries mit Vorrang und festgelegte Versionen. 4 Züge lang verliert der Gegner zu Zugbeginn 1 Integrität; zusätzlich 1 Schaden an allen seinen Verteidigungen.

Firmware-Implantat

#229 · Angriff · Malware · ◆7 · Stärke 8 · Legendär · Arena 8 (Zero-Day)

Ein in der Firmware verstecktes Programm übersteht Neuinstallationen und Plattentausch. Verhindert durch Secure Boot und signierte, gemessene Firmware. 4 Züge lang verliert der Gegner zu Zugbeginn 1 Integrität; seine Verteidigungen im Spiel verlieren alle Fähigkeiten.

Verteidigungskarten EDR (6)

Antivirus

#047 · Verteidigung · EDR · ◆2 · Widerstand 4 · Gewöhnlich · Arena 1 (Labor)

Erkennt bekannte Malware an ihren Signaturen.

Sandbox

#062 · Verteidigung · EDR · ◆3 · Widerstand 4 · Selten · Arena 3 (Rechenzentrum)

Regeneriert: +1 Widerstand zu Zugbeginn.

Backup-Raum

#102 · Verteidigung · EDR · ◆2 · Widerstand 3 · Gewöhnlich · Arena 3 (Rechenzentrum)

Ein geschützter Raum, in dem Kopien der Daten auf die Wiederherstellung warten. Heilt den Core: +1 Integrität zu Zugbeginn.

Unveränderliches Backup

#183 · Verteidigung · EDR · ◆3 · Widerstand 4 · Selten · Arena 3 (Rechenzentrum)

Eine Kopie, die nicht einmal ein kompromittierter Administrator löschen oder verschlüsseln kann: das Gegenmittel zu Ransomware. Heilt den Core: +1 Integrität zu Zugbeginn. Regeneriert: +1 Widerstand zu Zugbeginn.

EDR

#048 · Verteidigung · EDR · ◆4 · Widerstand 8 · Episch · Arena 4 (SOC)

Endpoint Detection & Response: beobachtet das Verhalten und stoppt auch neue Malware.

XDR

#067 · Verteidigung · EDR · ◆7 · Widerstand 11 · Legendär · Arena 8 (Zero-Day)

Regeneriert: +2 Widerstand zu Zugbeginn.

Für die technische Seite gibt es die simulierten Labore:

Die anderen Kartengruppen

Alle Karten und die Typentabelle