🔒 Schutz in der Praxis Wie NoID Privacy echte Malware-Kampagnen stoppt

Schicht 1: Netzwerkschutz 🌐

Angriffsphase: Erster Download / SEO Poisoning

Ohne NoID Privacy:

• ❌ Benutzer lädt schädliche ZIP ohne Warnung herunter
• ❌ Verbindung zu kompromittierter Website gelingt
• ❌ Malware-Datei wird als vertrauenswürdig markiert

Mit NoID Privacy:

• ✅ SmartScreen: Blockiert bekannte bösartige Websites
• ✅ Netzwerkschutz: Blockiert Verbindungen zu Malware-hostenden IPs
• ✅ Mark-of-the-Web: Markiert Downloads für zusätzliche Sicherheitsprüfungen

# Was NoID Privacy anwendet (offizielle Policy-Werte, vereinfacht):
Set-MpPreference -EnableNetworkProtection Enabled
# SmartScreen über Security-Baseline-Richtlinien erzwungen:
#   HKLM\SOFTWARE\Policies\Microsoft\Windows\System
#   EnableSmartScreen + ShellSmartScreenLevel

Ergebnis: Bekannte schädliche Downloads werden vor der Ausführung blockiert ✅

Schicht 2: Skript-Ausführungsverhinderung 📜

Angriffsphase: JavaScript Loader Ausführung

Attack Surface Reduction (ASR) Regeln:

• ✅ JavaScript/VBScript am Starten von ausführbaren Dateien hindern
  GUID: D3E037E1-3EB8-44C8-A917-57927947596D
• ✅ Ausführung von verschleierten Skripten blockieren
  GUID: 5BEB7EFE-FD9A-4556-801D-275E5FFC04CC

Ergebnis: JavaScript-basierte Loader werden in typischen Konfigurationen an der Ausführung gehindert ✅

Schicht 3: Persistenz-Verhinderung 🔒

Angriffsphase: Backdoor-Installation

Attack Surface Reduction verhindert, dass Malware:

• ✅ Kindprozesse erstellt (Office-Apps können keine ausführbaren Dateien starten)
• ✅ Nicht vertrauenswürdige Dateien ausführt (nur signierte/vertrauenswürdige ausführbare Dateien erlaubt)
• ✅ PSExec/WMI nutzt für laterale Bewegung und Remote-Code-Ausführung
• ✅ Code in andere Prozesse injiziert (DLL-Injection blockiert)

Kombiniert mit Defender Echtzeitschutz blockiert dies gängige Persistenz-Methoden (Registry-Autoruns, geplante Tasks, Diensterstellung) zur Laufzeit.

Ergebnis: Selbst wenn Malware ausgeführt wird, wird sie nach einem Neustart an der Persistenz gehindert ✅

Schicht 4: Firewall-Härtung 🔥

Angriffsphase: C2-Kommunikation / Laterale Bewegung

Konfiguration:

• ✅ Alle eingehenden Verbindungen blockieren (standardmäßig)
• ✅ 13 Firewall-Regeln blockieren Legacy-Angriffsvektoren: LLMNR, NetBIOS (Ports 137-139), mDNS*, WPAD, WSD, SSDP + SMBv1 deaktiviert
  *mDNS/WSD/SSDP konfigurierbar für Heimnetzwerke
• ✅ Strikte ausgehende Regeln für nicht autorisierte Apps

Ergebnis: In typischen Konfigurationen wird C2-Kommunikation blockiert oder stark eingeschränkt ✅

Schicht 5: Credential-Schutz 🔐

Angriffsphase: Credential-Diebstahl (Mimikatz, etc.)

Dreifacher Schutz:

• ✅ Credential Guard*: Isoliert Anmeldedaten in virtualisiertem Container
• ✅ LSA Protection: Verhindert bösartige DLL-Injection
• ✅ WDigest Deaktiviert: Passwörter nicht im Klartext-Speicher

# Result: Mimikatz output
lsadump::sam
ERROR kuhl_m_lsadump_sam ; kull_m_registry_RegOpenKeyEx (SAM) (0x00000005)
→ Access Denied! Credentials protected by Credential Guard*

Ergebnis: Tools wie Mimikatz können unter der Standardkonfiguration keine Klartext-Windows-Anmeldepasswörter aus dem Speicher lesen ✅

Schicht 6: Ransomware-Schutz 🛑

Angriffsphase: Dateiverschlüsselung / Ransomware-Bereitstellung

Mehrschichtiger Ransomware-Schutz:

• ✅ ASR-Regeln: Blockieren Prozesse nach Kompromittierung
• ✅ Credential Guard*: Verhindert laterale Bewegung mit gestohlenen Anmeldedaten
• ✅ Firewall-Härtung: Blockiert C2-Kommunikation und Netzwerkausbreitung
• ✅ Defender Echtzeitschutz: Bleibt neben der Härtung vollständig aktiv

Ergebnis: Selbst wenn Ransomware ausgeführt wird, wird sie an Ausbreitung und Kommunikation gehindert ✅

Schicht 7: DNS-Sicherheit 🌍

Angriffsphase: Domain-Auflösung / Vor der Verbindung

Sicheres DNS mit Malware-Blockierung:

• ✅ DNS-over-HTTPS (DoH): Verschlüsselte DNS-Anfragen verhindern ISP-Schnüffeln
• ✅ Quad9: Blockiert automatisch bekannte Malware-Domains
• ✅ Cloudflare (1.1.1.2): Malware- + Phishing-Schutz
• ✅ AdGuard: Werbung, Tracking und Malware-Blockierung

# Was NoID Privacy macht (vereinfacht) — physische Adapter werden
# automatisch erkannt, dann pro Adapter:
Set-DnsClientServerAddress -InterfaceIndex $adapter.InterfaceIndex `
    -ServerAddresses "9.9.9.9","149.112.112.112" -Validate
# + DoH-Erzwingung via Registry-Policy

Ergebnis: Malware-Domains werden BEVOR eine Verbindung hergestellt wird blockiert

Ergebnis: Bösartige Domains werden auf DNS-Ebene blockiert - Angriff stoppt bevor der Download überhaupt beginnt ✅

00:00 → Nutzer sucht "Arbeitsvertrag Vorlage"
     → DNS-Anfrage: malware-host.com
     → Quad9 DNS: "Bekannte Malware-Domain" → BLOCKIERT ✅
     → Angriff GESTOPPT bei Schicht 7 (DNS) – bevor etwas heruntergeladen wird!

--- ODER falls DNS es nicht erkennt: ---

00:00 → Nutzer klickt auf SEO-vergiftetes Ergebnis
     → SmartScreen: Warnt vor verdächtiger Website ✅

00:01 → Nutzer lädt "vertrag.zip" trotzdem herunter
     → Mark-of-the-Web: Datei als Internet-Download markiert ✅
     → Netzwerkschutz: Blockiert Verbindung zu bekannter schädlicher IP ✅

00:02 → Nutzer entpackt ZIP, doppelklickt JavaScript-Datei
     → ASR-Regel: JavaScript am Starten von Programmen hindern ✅
     → Angriff GESTOPPT bei Schicht 2

🛡️ ANGRIFF BLOCKIERT – Kein Schaden, keine Verschlüsselung, kein Lösegeld
     Mehrere Schichten gewährleisten Schutz, selbst wenn eine umgangen wird