Sleep Obfuscation
Den eigenen Code im Speicher verschlüsseln, während man ruht, und ihn kurz vor dem Aufwachen wieder entschlüsseln. Gerichtet gegen Scanner, die den Prozessspeicher in regelmäßigen Abständen untersuchen.
Ein Implantat tut die meiste Zeit sehr wenig: Es schläft minutenlang, holt Befehle ab, schläft wieder. Während dieser Zeit liegt es unverschlüsselt im Speicher mit Lese- und Ausführungsrechten — genau das, wonach ein periodischer Speicherscan mit Signaturregeln sucht. Die Technik dreht das um, indem sie nicht mit einer gewöhnlichen Funktion schläft, sondern die Kontrolle an eine kleine Kette übergibt — historisch über Timer-Queues in der Variante Ekko oder asynchrone Prozeduraufrufe in Foliage —, die den Speicherschutz auf beschreibbar setzt, die Region verschlüsselt, wartet und alles in umgekehrter Reihenfolge rückgängig macht. Fast während der gesamten Ruhephase gibt es nichts Lesbares zu finden. Das kostet an anderer Stelle Spuren: ein wartender Thread mit einem Stack, der sich keinem Modul zuordnen lässt, und Speicherregionen, die in einem wiederkehrenden Muster ihren Schutz wechseln, sind für sich genommen schon ungewöhnlich genug, um Alarm auszulösen.