So interpretieren Sie Ergebnisse der Hash-Prüfung — Hash-Treffer vs. Hash-Urteil

Antwort zuerst

Hash-Treffer ≠ Schadsoftware, und kein Treffer ≠ sauber. Ein Hash identifiziert nur die exakten Bytes, die Sie der Prüfung übergeben haben. Behandeln Sie ihn als ein Beweisstück und verifizieren Sie dann Herkunft und Verhalten.

1. Was das Tool prüft

Eine Hash-Prüfung berechnet den MD5-, SHA-1- und/oder SHA-256-Digest der Datei (oder Zeichenkette), die Sie angeben, und vergleicht den Digest mit dem Intelligence-Datensatz von OpenTrojan und bekannten guten/bekannten bösartigen Referenzen. Sie kann nicht untersuchen, was die Datei tut — nur, was sie ist (Byte für Byte).

2. Eingabe

• Eine in die Prüfung hochgeladene Datei oder eine Roh-Zeichenkette (für Passwörter/Werte bevorzugen Sie die Passwort-Prüfung; Hashes dienen der Datei-Identität).
• Das Tool setzt voraus, dass Sie wissen, dass die Datei aus einem Kontext stammt, den Sie untersuchen — der Hash allein trägt keinen Kontext.

3. Ausgabe

• Die berechneten Digests für die Eingabe und das Datensatz-Trefferergebnis:
  • Kein Treffer — der Digest ist im geprüften Datensatz nicht vorhanden.
  • Treffer — der Digest entspricht einem Eintrag, mit der Klassifizierung des Eintrags (z. B. bekannt bösartig) und der Quelle.
• Wo verfügbar, zeigt das Ergebnis, gegen welchen Datensatz der Vergleich lief, sodass Sie die Abdeckung kennen (ein Treffer in einem Datensatz ist kein Treffer in allen Datensätzen).

4. Was das Ergebnis bedeutet

• Bekannter bösartiger Treffer: genau diese Datei wurde als Schadsoftware beobachtet (die Quelle zeigt an, wo). Das ist starke Evidenz — bestätigen Sie jedoch, dass die Datei nach der Digest-Erstellung nicht manipuliert wurde (vergleichen Sie Hashes aus Hersteller-/Signaturquellen, nicht nur E-Mails oder Chats).
• Kein Treffer: die Datei ist im Datensatz nicht als bösartig bekannt. Das ist kein Sicherheitsbeweis — Zero-Day-Dateien, modifizierte Varianten und Dateien, die der Datensatz nie gesehen hat, werden nicht treffen.
• Sauberer (bekannter guter) Treffer: der Digest erscheint in einer bekannten guten Referenz (z. B. ein herstellersignierter Binär-Hash). Verifizieren Sie dennoch die Quelle dieser Referenz — Lieferketten-Manipulation hat „bekannte gute“ Binärdateien bereits erneut verteilt.

5. Einschränkungen und Fehlalarme

• Gleicher Hash, andere Bedeutung: zwei verschiedene Dateien können bei MD5/SHA-1 kollidieren (bei MD5-Kollisionsangriffen absichtlich); nur SHA-256 ist praktisch kollisionsresistent.
• Datensatz-Abdeckung: Ein Fehlschlag sagt nichts über die Absicht der Datei aus.
• Kontextblindheit: Ein legitimes Werkzeug, das von Schadsoftware genutzt wird (z. B. powershell.exe), hat einen sauberen Hash; die Nutzung ist das Signal.
• Modifizierte Varianten: Angreifer signieren oder kompilieren neu, um den Hash zu ändern, sodass ein Nicht-Treffer nach Verhaltensanalyse verlangt, nicht nach Entlastung.

6. Datenschutz

Die Prüfung arbeitet mit dem Digest, den Sie angeben. Für Dateianalysen bevorzugen Sie die Verarbeitung von Dateien auf einem isolierten System (VM/air-gapped) und übermitteln Sie nur Digests — fügen Sie niemals vollständige Dateien in Chats oder nicht vertrauenswürdige Werkzeuge ein.

7. Nächste Schritte

1. Vergleichen Sie den Digest mit dem veröffentlichten Hash des Herstellers (falls vorhanden).
2. Prüfen Sie die Herkunft: Woher stammt die Datei, wer hat sie gesendet, wurde der Absender über einen verifizierten Kanal kontaktiert?
3. Wenn die Datei von einer verdächtigen URL oder E-Mail stammt, führen Sie URL-Analyzer und IOC-Abfrage auf die Quelle und alle sekundären Indikatoren aus.
4. Dokumentieren Sie den Digest und sein Urteil in einer Untersuchung mit Quelle und Zeitstempel.

8. Verwandte Entitäten

• IOC — Hashes sind einer der vier Kern-IOC-Typen (Was ist ein IOC).
• Schadsoftware — Hash-Prüfungen unterstützen die Identifizierung von Schadsoftware und die Verknüpfung von Familien.
• Kampagnen — ein passender Hash führt oft zu einer bekannten Kampagne (z. B. der Log4Shell-Exploitationswelle).

Nützliche Werkzeuge

• Hash-Prüfung — Digests berechnen und prüfen.
• IOC-Abfrage — andere Indikatoren für Kompromittierung normalisieren und korrelieren.
• Untersuchungsarbeitsbereich — Beweise und Urteile verfolgen.