Zlonamjerni softver bez datoteka: šta je to, kako funkcioniše i kako se od njega odbraniti

Universal Adventure » Opšti » Zlonamjerni softver bez datoteka: šta je to, kako funkcioniše i kako se od njega odbraniti

Posljednjih godina zlonamjerni softver bez datoteka Zlonamjerni softver bez datoteka postao je jedna od najvećih glavobolja za IT i sigurnosne timove. Ne govorimo o tipičnom virusu koji preuzmete kao prilog i možete ga ukloniti antivirusnim skeniranjem, već o nečemu mnogo prikrivenijem što se krije unutar vlastitih procesa sistema.

Ova vrsta prijetnje iskorištava legitimni alati operativnog sistemaPosebno na Windowsu, može izvršavati zlonamjerni kod direktno u RAM memoriju. Budući da gotovo ne ostavlja traga na disku, može izbjeći mnoge tradicionalne antivirusne programe i ostati aktivan dovoljno dugo da ukrade informacije, šifrira datoteke ili održava skrivene ulaze (backdoor) bez otkrivanja.

Šta je tačno malware bez datoteka?

Kada govorimo o zlonamjernom softveru bez datoteka, mislimo na zlonamjerni kod koji ne zavisi od klasične izvršne datoteke na disku da bi funkcionisao. Umjesto da se instalira kao bilo koji drugi program, on se oslanja na komponente koje su već prisutne u sistemu (skripte, servise, interpretere komandi itd.) da bi učitavao i izvršavao svoje instrukcije direktno u memoriji.

Sa tehničke tačke gledišta, ovaj zlonamjerni softver obično biti ubrizgan u procese koji su već pokrenuti ili se mogu pokrenuti pomoću naredbi koje sve učitavaju u RAM. To znači da, nakon što se računar isključi ili ponovo pokrene, mnoge varijante nestaju, ali u međuvremenu imaju dovoljno vremena da uzrokuju ozbiljnu štetu.

U poređenju sa zlonamjernim softverom zasnovanim na datotekama, ove prijetnje su lakši, diskretniji i mnogo teži za praćenjeNa disku nećete pronaći sumnjivu .exe datoteku, niti nužno zlonamjerni instalacijski program: problem leži u onome što se događa unutar procesa koji izgledaju pouzdano.

Uspon ovog pristupa naglo je porastao oko 2017. godine, kada su kampanje počele kombinirati tehnike bez datoteka sa trojanci koji klikaju, napredni reklamni softver i alati za daljinski pristup (RAT)Danas su integrirani u sve vrste operacija: od špijunaže i APT-ova do ransomwarea i rudarenja kriptovaluta.

Kako zlonamjerni softver bez datoteka funkcionira iznutra

Da biste razumjeli kako to funkcionira, vrijedi zapamtiti da se većina uobičajenih aplikacija distribuira kao datoteka koja se zapisuje na disk, a zatim učitava u memoriju kada ga korisnik pokrene. S druge strane, zlonamjerni softver bez datoteka preskače prvi korak i materijalizira se direktno u RAM memoriji koristeći mehanizme samog operativnog sistema.

Mnoge kampanje se oslanjaju na ideju "života od zemlje" (živi od zemlje): napadač zloupotrebljava legitimna administrativna ovlaštenja umjesto uvođenja novih binarnih datoteka. Na Windowsu, glavni primjer je PowerShell, ali se iskorištavaju i WMI, mshta, rundll32, VBScript ili JScript skripte i druge pouzdane binarne datoteke (LoLBins).

Tipičan scenario bi bio: korisnik otvori Office dokument sa zlonamjernim sadržajem ili klikne na phishing link; odatle skripta koja poziva PowerShell ili neki drugi alat za preuzimanje, dešifriranje ili ubrizgavanje koda za sljedeću fazu u memoriju. Sve se ovo može dogoditi bez kreiranja trajne datoteke na tvrdom disku.

Drugi uobičajeni vektor uključuje iskorištavanje Ranjivosti u izvršavanju udaljenog koda, kao što su prelijevanje bafera u preglednicima, dodacima ili serverskim aplikacijama. Iskorištavanjem ranjivosti, napadač može direktno izvršiti shellcode unutar ranjivog procesa i, odatle, učitati preostale komponente u memoriju.

Neke varijante čak pribjegavaju Windows registar ili planirani zadaci za pohranjivanje skripti ili naredbi koje reaktiviraju napad kada se sistem pokrene ili se korisnik prijavi. Čak i ako se nešto zapiše u Registar, glavna zlonamjerna logika nastavlja se izvršavati u memoriji, što otežava njeno otkrivanje alatima usmjerenim isključivo na datotečni sistem.

Metode infekcije i početni pristup

Ulazna vrata su obično prilično klasična: phishing e-poruke, zlonamjerni linkovi i krivotvoreni dokumenti Oni ostaju kraljevi početnog pristupa, iako se ispod koriste tehnike pristupa bez datoteka. Trik je u tome što se kroz cijeli lanac ulaže svaki napor da se minimizira zauzimanje prostora na disku.

U mnogim incidentima se koriste Microsoft Office dokumenti s makroima Kada se aktiviraju, ovi makroi pozivaju PowerShell ili WMI za preuzimanje i izvršavanje sljedeće faze napada u memoriji. Čak i bez makroa, napadači iskorištavaju ranjivosti u Wordu, Excelu, PDF čitači ili sam skriptni mehanizam kako bi se postiglo izvršenje koda.

Drugi pristup uključuje direktno korištenje naizgled bezopasne izvršne datoteke koji korisnik prima putem e-pošte ili preuzima s weba. Ova izvršna datoteka može izdvojiti zlonamjerni modul i učitati ga u memoriju koristeći tehnike kao što je refleksija u .NET-u, bez stvarnog spremanja na disk kao zasebne datoteke.

Također postoje kampanje usmjerene na web servere ili aplikacije izložene internetu, gdje se ranjivost koristi za implementaciju webshell-ovi sa komponentama bez datotekaNedavni primjer je korištenje Godzille i sličnih alata, u kojima zlonamjerni kod putuje unutar HTTP zahtjeva i ubrizgava se direktno u memoriju na kompromitovanom serveru.

Konačno, napadači često pribjegavaju ukradene akreditacijeAko dobiju korisničko ime i lozinku administratora ili privilegovanog računa, mogu se prijaviti putem RDP-a ili drugih kanala i ručno pokrenuti PowerShell skripte, WMI naredbe ili administrativne alate koji učitavaju zlonamjerni softver u memoriju bez ostavljanja novih izvršnih datoteka na sistemu.

Specifične tehnike koje koristi zlonamjerni softver bez datoteka

Jedan od ključeva ovih napada je ponovna upotreba izvorni Windows alati kao sredstvo za njihove skripte. Zbog toga se zlonamjerne aktivnosti miješaju s normalnim administrativnim zadacima, što komplicira analizu i odgovor.

Među najčešćim tehnikama nalazimo upotrebu PowerShell kao ugrađeni pokretač koda direktno iz komandne linije. Na primjer, obfusirani skript se prosljeđuje kao parametar, politika izvršavanja se onemogućava, prozor se skriva, a korisni sadržaj se preuzima direktno u memoriju, sve bez ostavljanja .ps1 datoteke ili bilo koje sumnjive izvršne datoteke vidljivom.

Još jedna vrlo popularna taktika je pohranjivanje zlonamjernih skripti u Pretplate na Windows Management Instrumentation (WMI)S vremena na vrijeme, WMI pokreće skriptu koja može izvršavati kod iz memorije, povezivati ​​se sa komandnim i kontrolnim serverima ili pokretati nove faze infekcije.

Slično tome, mnoge grupe koriste Windows registar i planer zadataka kao utočište za svoje skripte i naredbe. Umjesto da izvršnu datoteku smjeste u mapu za pokretanje, oni definiraju ključeve za pokretanje ili planirane zadatke koji pokreću PowerShell, mshta ili rundll32 skripte s ugrađenim ili kodom koji se izvršava u hodu.

Tehnike se također vide u refleksija u .NET-ugdje lagani izvršni fajl sadrži šifrirane ili komprimirane sklopove koji se direktno učitavaju u memoriju pomoću Reflection.Load, bez ikakvog zapisivanja kao .dll datoteke na disk. Ovo omogućava implementaciju vrlo sofisticiranih trojanaca unutar jednog, naizgled normalnog procesa.

Šta može učiniti napad bez datoteka?

Uprkos svom nazivu, napad bez datoteka nije ograničen u svom uticaju. U stvari, može izvršiti iste funkcije kao i tradicionalni zlonamjerni softverkrađa informacija, šifriranje podataka, lateralno kretanje, špijunaža, rudarenje kriptovaluta ili instaliranje trajnih stražnjih vrata.

Mnoge kampanje bez datoteka se ponašaju kao kradljivac akreditivaOvo uključuje snimanje lozinki, tokena sesije ili hashova za autentifikaciju iz memorije osjetljivih procesa. Ovo olakšava eskalaciju privilegija, kompromitovanje više sistema i održavanje produženog pristupa bez pribjegavanja dodatnim binarnim datotekama.

Drugi se fokusiraju na ransomware bez datotekagdje se dio logike šifriranja i komunikacije izvršava direktno u memoriji. Iako se u nekom trenutku može činiti da komponenta diska manipulira velikim brojem datoteka, početno učitavanje i kontrola napada se vrše tehnikama bez datoteka kako bi se izbjeglo rano otkrivanje.

Napadači također mogu instalirati rootkitovi ili napredni RAT-ovi Nakon što se uspostave, ovi alati koriste kanale bez datoteka za primanje naredbi, kretanje po mreži i ažuriranje modula. Budući da su integrirani u sistemske procese ili kritične servise, ove alate je posebno teško iskorijeniti.

Na ekonomskom planu, uticaj se ogleda u gubitak podataka, prekidi usluga, regulatorne kazne i šteta na ugleduBudući da ovi upadi često ostaju neotkriveni mjesecima, količina ukradenih informacija i obim povrede mogu biti ogromni.

Faze napada zlonamjernog softvera bez datoteka

Iako su tehnički aspekti različiti, životni ciklus napada bez datoteka prilično je sličan životnom ciklusu bilo kojeg naprednog upada. Koje su promjene? mehanizmi koji se koriste u svakoj fazi i način na koji se kamufliraju.

U fazi od početni pristupNapadaču je potrebna početna osnova: klik na phishing link, otvaranje dokumenta koji sadrži makroe, iskorištavanje ranjivog servera ili ponovna upotreba kompromitovanih akreditiva. Nakon toga, cilj je izvršiti kod unutar ciljnog sistema.

Nakon što se taj korak postigne, počinje sljedeća faza izvršavanje u memorijiOvdje na scenu stupaju PowerShell, WMI, mshta, rundll32, VBScript, JScript ili drugi interpreteri koji učitavaju i aktiviraju korisni teret bez generiranja trajnih izvršnih datoteka na disku. Kod je obično maskiran ili šifriran, a dešifriran samo u RAM-u.

Tada počinje potjera upornostIako mnogi podaci bez datoteka nestaju kada se računar ponovo pokrene, sofisticirani napadači kombinuju skripte koje se nalaze u RAM memoriji sa ključevima registra, planiranim zadacima ili WMI pretplatama koje ponovo pokreću kod svaki put kada se ispuni određeni uslov, kao što je pokretanje sistema ili prijava korisnika.

Konačno, konačni ciljevi Radnje napadača uključuju: krađu i neovlašteno korištenje podataka, šifriranje informacija, postavljanje više zlonamjernog softvera, kontinuiranu špijunažu i sabotažu kritičnih sistema. Sve se ovo radi uz pokušaj održavanja najnižeg mogućeg profila kako bi se izbjegla rana upozorenja i forenzička analiza.

Zašto je to tako teško otkriti?

Veliki problem sa zlonamjernim softverom bez datoteka je taj što To krši klasični model odbrane zasnovan na datotekama i potpisimaAko ne postoji sumnjiva izvršna datoteka za analizu, mnogi antivirusni programi ostaju slijepi za ono što se događa unutar memorije i legitimnih procesa.

Odsustvo datoteka na disku implicira da Nema objekata za periodično skeniranje u potrazi za poznatim obrascima. Nadalje, korištenjem binarnih datoteka koje je potpisao sam operativni sistem, kao što su PowerShell.exe, wscript.exe ili rundll32.exe, zlonamjerna aktivnost se prikriva iza imena kojima administrator obično vjeruje.

Osim toga, mnogi naslijeđeni proizvodi imaju Ograničen uvid u pokrenute proceseFokusiraju se na datotečni sistem i mrežni promet, ali jedva provjeravaju interne API pozive, parametre komandne linije, ponašanje skripti ili događaje u registru koji bi mogli odati napad bez datoteka.

Napadači, svjesni ovih ograničenja, pribjegavaju tehnike obfuskacije, šifriranja i fragmentacije kodaNa primjer, oni dijele zlonamjerni skript na nekoliko fragmenata koji se sastavljaju u stvarnom vremenu ili skrivaju instrukcije unutar slika, ugrađenih resursa ili naizgled bezopasnih stringova.

U okruženjima gdje se sistemi rijetko ponovo pokreću (kritični serveri, produkcijski terminali itd.), zlonamjerni softver koji se nalazi u memoriji može ostaju aktivni sedmicama ili mjesecima a da vas ne otkriju, posebno ako se krećete oprezno i ​​smanjite obim saobraćaja ili upadljive radnje.

Ograničenja tradicionalne odbrane

Početni odgovor mnogih pružatelja usluga na ovu prijetnju bio je pokušaj ograničite ili direktno blokirajte alate poput PowerShella ili Office makroaIako može smanjiti neke vektore, to nije realno ili potpuno rješenje u većini organizacija.

PowerShell je postao ključna komponenta za administraciju Windows sistemaAutomatizacija zadataka, implementacija softvera i upravljanje serverima. Potpuno blokiranje bi paraliziralo IT tokove rada i prisililo na ponovno izvršavanje brojnih internih procesa.

Nadalje, sa stanovišta napadača, postoji više načina da se zaobilaženje jednostavne politike blokiranjaPostoje tehnike za učitavanje PowerShell mehanizma iz biblioteka (dll) pomoću rundll32, pretvaranje skripti u izvršne datoteke pomoću alata poput PS2EXE, korištenje modificiranih kopija PowerShell.exe ili čak ugrađivanje PowerShell skripti u PNG slike i njihovo pokretanje pomoću obfusciranih komandnih linija.

Nešto slično se dešava i sa Office makroima: Mnoge kompanije zavise od njih automatizirati izvještaje, proračune i poslovne procese. Njihovo globalno onemogućavanje može poremetiti rad internih aplikacija, dok oslanjanje isključivo na statičku analizu VBA koda često rezultira teškom stopom lažno pozitivnih i lažno negativnih rezultata.

Osim toga, neki pristupi zasnovani na detekcija kao usluga u oblaku Zahtijevaju stalnu povezanost i ponekad rade s prevelikim kašnjenjem kako bi spriječili početno izvršavanje zlonamjernog softvera. Ako se odluka o blokiranju donese nekoliko sekundi ili minuta kasnije, šteta već može biti učinjena.

Fokus se pomjera: sa datoteka na ponašanje

Budući da datoteka više nije glavni element, moderna odbrambena rješenja se fokusiraju na pratiti ponašanje procesa umjesto samog pregleda sadržaja datoteka. Ideja je da, iako postoje hiljade varijanti zlonamjernog softvera, obrasci zlonamjernih aktivnosti su mnogo manje raznoliki.

Ovaj pristup se oslanja na motore od analiza ponašanja i mašinsko učenje koji kontinuirano prate šta svaki proces radi: koje naredbe pokreće, koje sistemske resurse dodiruje, kako komunicira sa vanjskim svijetom i koje promjene pokušava uvesti u okruženje.

Na primjer, Office proces može biti označen kao sumnjiv ako izvršava obfusiranu PowerShell komandu s parametrima za onemogućavanje sigurnosnih politika i preuzimanje koda sa sumnjive domene. Ili proces koji, bez ikakvog vidljivog razloga, iznenada pristupa stotinama osjetljivih datoteka ili mijenja kritične ključeve registra.

Najnovija generacija EDR sistema i XDR platformi prikuplja detaljna telemetrija krajnjih tačaka, servera i mrežei sposobni su rekonstruirati kompletne priče (ponekad nazvane StoryLines) o tome kako je incident nastao, koji su procesi bili uključeni i koje su promjene prošli na pogođenoj mašini.

Dobar bihevioralni mehanizam ne samo da detektuje prijetnju, već može i ublažiti ili automatski poništiti zlonamjerne radnjeZaustaviti uključene procese, izolirati računar, vratiti šifrirane datoteke, poništiti promjene u registru i prekinuti komunikaciju s domenama komandi i kontrole.

Tehnologije i izvori ključnih događaja u Windowsu

Za analizu prijetnji bez datoteka u Windowsu, posebno je korisno iskoristiti izvorni mehanizmi telemetrije operativnog sistema, koji su već tu i nude mnogo informacija o tome šta se dešava iza kulisa.

S jedne strane je Praćenje događaja za Windows (ETW)ETW je okvir koji omogućava snimanje vrlo detaljnih događaja vezanih za izvršavanje procesa, API pozive, pristup memoriji i druge interne aspekte sistema. Mnoga EDR rješenja oslanjaju se na ETW kako bi otkrila atipično ponašanje u stvarnom vremenu.

Još jedan ključni dio je Interfejs za skeniranje protiv malvera (AMSI)AMSI je API koji je dizajnirao Microsoft kako bi omogućio sigurnosnim mehanizmima da pregledaju skripte i dinamički sadržaj neposredno prije pokretanja, čak i ako je maskiran. AMSI je posebno koristan sa PowerShell-om, VBScript-om, JScript-om i drugim skriptnim jezicima.

Osim toga, moderni motori se periodično analiziraju osjetljiva područja kao što su registar, planer zadataka, WMI pretplate ili politike izvršavanja skriptiSumnjive promjene u ovim područjima često su znak da je napad bez datoteka uspostavio perzistenciju.

Sve ovo je dopunjeno heuristikama koje uzimaju u obzir ne samo trenutni proces, već i kontekst izvršenjaodakle dolazi roditeljski proces, kakva je mrežna aktivnost uočena prije i poslije, da li je bilo čudnih kvarova, anomalnih blokada ili drugih signala koji, zajedno, ukazuju na sumnju.

Praktične strategije otkrivanja i prevencije

U praksi, zaštita od ovih prijetnji uključuje kombinovanje tehnologija, procesi i obukaNije dovoljno instalirati antivirus i zaboraviti na njega; potrebna je slojevita strategija prilagođena stvarnom ponašanju zlonamjernog softvera bez datoteka.

Na tehničkom nivou, neophodno je implementirati EDR ili XDR rješenja s mogućnostima analize ponašanja i vidljivošću na nivou procesa. Ovi alati moraju biti u stanju da snimaju i koreliraju aktivnosti u realnom vremenu, blokiraju anomalno ponašanje i pružaju jasne forenzičke informacije sigurnosnom timu.

Takođe je zgodan Ograničavanje upotrebe PowerShella, WMI-ja i drugih interpretera na ono što je strogo neophodno, primjenjujući liste kontrole pristupa, potpisivanje skripti (potpisivanje koda) i politike izvršavanja koje ograničavaju koji kod može da se izvršava i sa kojim privilegijama.

Sa strane korisnika, obuka ostaje ključna: potrebno je ojačati svijest o phishingu, sumnjivim linkovima i neočekivanim dokumentimaOvo je posebno važno među osobljem koje ima pristup osjetljivim informacijama ili privilegijama visokog nivoa. Smanjenje broja nepažljivih klikova značajno smanjuje površinu napada.

Konačno, ne može se zanemariti ni ciklus ažuriranja zakrpa i softveraMnogi lanci bez datoteka počinju iskorištavanjem poznatih ranjivosti za koje već postoje zakrpe. Održavanje preglednika, dodataka, poslovnih aplikacija i operativnih sistema ažurnim zatvara vrijedna vrata napadačima.

Upravljane usluge i lov na prijetnje

U srednjim i velikim organizacijama, gdje je obim događaja ogroman, internom timu je teško da sve vidi. Zato im raste popularnost. usluge praćenja i upravljanog odgovora (MDR/EMDR) i centri za vanjske sigurnosne operacije (SOC).

Ove usluge kombinuju naprednu tehnologiju sa timovi analitičara koji prate 24/7 okruženja svojih klijenata, korelirajući slabe signale koji bi inače ostali nezapaženi. Ideja je otkriti ponašanja tipična za zlonamjerni softver bez datoteka prije nego što dođe do štete.

Mnogi SOC-ovi se oslanjaju na okvire kao što su MITER ATT&CK katalogizirati taktike, tehnike i procedure (TTP) protivnika i izgraditi specifična pravila usmjerena na izvršavanje u memoriji, zloupotrebu LoLBins-a, zlonamjerni WMI ili prikrivene obrasce krađe podataka.

Pored kontinuiranog praćenja, ove usluge obično uključuju forenzička analiza, odgovor na incidente i savjetovanje kako bi se poboljšala sigurnosna arhitektura, zatvorili ponavljajući nedostaci i ojačale kontrole na krajnjim tačkama i serverima.

Za mnoge kompanije, outsourcing dijela ove funkcije je najodrživiji način da se suoče s tako složenim prijetnjama, budući da ne mogu svi priuštiti interni tim specijaliziran za pronalaženje naprednog zlonamjernog softvera.

Realnost je da je zlonamjerni softver bez datoteka zauvijek promijenio način na koji razumijemo sigurnost krajnjih tačaka: Datoteke više nisu jedini ključni indikatorI samo kombinacija duboke vidljivosti, analize ponašanja, dobrih upravljačkih praksi i proširene kulture kibernetičke sigurnosti može to držati pod kontrolom na dnevnoj bazi.