Vom Jäger zum Gejagten: Normalerweise sollen Antiviren-Tools das System vor Schadsoftware bewahren. Wenn aber Malware gezielt gegen den installierten Virenscanner vorgeht, kann dieser selbst schnell zum Einfallstor für Trojaner und andere Plagegeister werden. Wie es um den Selbstschutz von Virenscannern bestellt ist, hat nun das AV-Test-Institut ermittelt.

Insgesamt 21 Antiviren-Lösungen für Privatanwender und 10 Tools für professionelle Nutzer haben die Experten untersucht. Dabei wurde überprüft, ob die Virenscanner die frei verfügbaren Schutzmechanismen ASLR und DEP für ihren Programmcode nutzen und ob Signaturen mit gültigen Zertifikaten bei PE-Dateien verwendet werden.

ASLR (Address Space Layout Randomization) bezeichnet eine Speicherverwürfelung, die das Ausnutzen von Fehlern verhindern soll. ASLR weist Programmen auf zufälliger Basis Adressbereiche zu. Dadurch sollen Angriffe über einen Pufferüberlauf vereitelt werden.

DEP (Data Execution Prevention) wiederum bezeichnet einen Schutzmechanismus auf Hardware-Basis, der beispielsweise bei Chipsets aus dem Hause AMD und Intel standardmässig zum Einsatz kommt. Der Mechanismus kontrolliert den Zugriff auf den Systemspeicher und soll die Ausführung von Code in Systemspeicherbereichen verhindern.

Bei den Virenscannern für Privatanwender erreichen die Suiten von Avira, Bullguard, ESET, Kaspersky, McAfee und Symantec einen 100-prozentigen Schutz mit DEP und ASLR. Die Lösungen von F-Secure und G Data liegen mit 99,4 und 99,5 Prozent nur leicht dahinter. Alle übrigen Testkandidaten schneiden deutlich schlechter ab, Schlusslicht ist K7 Computing Total Security 14.2 mit mageren 25,9 Prozent. Der beste kostenlose Virenscanner in der DEP- und ASLR-Wertung ist Avast Free Antivirus 2015 mit 96,9 Prozent.

Nachholbedarf gibt es auch bei der Verwendung von Signaturen: 60 Prozent der getesteten Virenscanner nutzen unsignierte PE-Dateien. Bei der Software von ThreatTrack kommen sogar 411 davon zum Einsatz. Viel bedenklicher sei allerdings, dass Avast, Check Point und ThreatTrack sogar ungültige Zertifikate verwenden.

Bei den Unternehmenslösungen erreichen zwei Tools von Kaspersky sowie die Lösung von Symantec 100 Prozent in der DEP- und ASLR-Wertung. Dicht dahinter liegen mit Werten zwischen 95,7 und 90,5 Prozent die Endpoint-Security-Lösungen von Intel / McAfee, Trend Micro, Sophos, F-Secure und G Data. Einzig Seqrite Endpoint-Security 16.00 fällt mit rund 30 Prozent weit ab.

Ebenfalls verbesserungswürdig ist die Signatur-Verwendung der Unternehmens-Lösungen. 50 Prozent der untersuchten Tools haben unsignierte Dateien im Gepäck. Allerdings wurden keine ungültigen Zertifikate genutzt.