Filløs malware: hvad det er, hvordan det fungerer, og hvordan man beskytter sig mod det

Universelt eventyr » Generelt » Filløs malware: hvad det er, hvordan det fungerer, og hvordan man beskytter sig mod det

I de senere år filløs malware Filløs malware er blevet en af ​​de mest alvorlige hovedpiner for IT- og sikkerhedsteams. Vi taler ikke om den typiske virus, man downloader som en vedhæftet fil og kan fjerne med en antivirusscanning, men om noget langt mere diskret, der gemmer sig i systemets egne processer.

Denne type trussel udnytter legitime operativsystemværktøjerIsær på Windows kan den udføre skadelig kode direkte i RAM. Fordi den næsten ikke efterlader spor på disken, kan den omgå mange traditionelle antivirusprogrammer og forblive aktiv længe nok til at stjæle information, kryptere filer eller vedligeholde bagdøre uden at blive opdaget.

Hvad er filløs malware præcist?

Når vi taler om filløs malware, henviser vi til ondsindet kode, der ikke er afhængig af en klassisk eksekverbar fil på disken at fungere. I stedet for at blive installeret som ethvert andet program, er det afhængigt af komponenter, der allerede er til stede i systemet (scripts, tjenester, kommandofortolkere osv.), for at indlæse og udføre sine instruktioner direkte i hukommelsen.

Fra et teknisk synspunkt er denne malware normalt at blive injiceret i processer, der allerede kører eller de kan startes ved hjælp af kommandoer, der indlæser alt i RAM. Det betyder, at når computeren slukkes eller genstartes, forsvinder mange varianter, men i mellemtiden har de masser af tid til at forårsage alvorlig skade.

Sammenlignet med filbaseret malware er disse trusler lettere, mere diskret og meget sværere at sporeDu finder ikke en mistænkelig .exe-fil på disken, og heller ikke nødvendigvis et ondsindet installationsprogram: problemet ligger i, hvad der sker i processer, der ser ud til at være betroede.

Fremkomsten af ​​denne tilgang steg voldsomt omkring 2017, da kampagner begyndte at kombinere filløse teknikker med clicker-trojanere, avanceret adware og fjernadgangsværktøjer (RAT'er)I dag er de blevet integreret i alle slags operationer: fra spionage og APT'er til ransomware og kryptomining.

Sådan fungerer filløs malware indvendigt

For at forstå hvordan det fungerer, er det værd at huske, at de fleste normale applikationer distribueres som en fil, der skrives til disk og derefter indlæses i hukommelsen når brugeren kører den. Filløs malware springer derimod det første trin over og materialiserer sig direkte i RAM ved hjælp af mekanismer i selve operativsystemet.

Mange kampagner er afhængige af ideen om at "leve af jorden" (lever af landet): angriberen misbruger legitime administrative beføjelser i stedet for at introducere nye binære filer. På Windows er PowerShell det primære eksempel, men WMI, mshta, rundll32, VBScript- eller JScript-scripts og andre betroede binære filer (LoLBins) udnyttes også.

Et typisk scenarie ville være: en bruger åbner et Office-dokument med skadeligt indhold eller klikker på et phishing-link; derfra en script, der kalder PowerShell eller et andet værktøj til at downloade, dekryptere eller indsprøjte koden til den næste fase i hukommelsen. Alt dette kan ske uden at oprette en permanent fil på harddisken.

En anden almindelig vektor involverer at udnytte Sårbarheder ved fjernudførelse af kode, såsom bufferoverløb i browsere, plugins eller serverapplikationer. Ved at udnytte sårbarheden kan angriberen direkte udføre shellcode i den sårbare proces og derfra indlæse resten af ​​komponenterne i hukommelsen.

Nogle varianter tyr endda til Windows-registreringsdatabasen eller planlagte opgaver at gemme scripts eller kommandoer, der genaktiverer angrebet, når systemet starter, eller en bruger logger ind. Selv hvis noget skrives til registreringsdatabasen, fortsætter den primære ondsindede logik med at køre i hukommelsen, hvilket gør det vanskeligt at opdage det med værktøjer, der udelukkende fokuserer på filsystemet.

Infektionsmetoder og initial adgang

Hoveddøren er normalt ret klassisk: phishing-e-mails, ondsindede links og forfalskede dokumenter De forbliver kongerne af initial adgang, selvom filløse teknikker anvendes nedenunder. Tricket er, at der i hele kæden gøres alt for at minimere ethvert diskfodaftryk.

I mange tilfælde bliver de brugt Microsoft Office-dokumenter med makroer Når disse makroer aktiveres, kalder de PowerShell eller WMI for at downloade og udføre den næste fase af angrebet i hukommelsen. Selv uden makroer udnytter angribere sårbarheder i Word, Excel, PDF -læsere eller selve scripting-motoren for at opnå kodeudførelse.

En anden tilgang involverer direkte udnyttelse tilsyneladende harmløse eksekverbare filer som brugeren modtager via e-mail eller download fra nettet. Denne eksekverbare fil kan udpakke et skadeligt modul og indlæse det i hukommelsen ved hjælp af teknikker som refleksion i .NET, uden rent faktisk at gemme det på disken som en separat fil.

Der er også kampagner, der er rettet mod webservere eller applikationer, der er eksponeret for internettet, hvor sårbarheden bruges til at implementere webshells med filløse komponenterEt nyligt eksempel er brugen af ​​Godzilla og lignende værktøjer, hvor ondsindet kode bevæger sig inden for HTTP-anmodninger og injiceres direkte i hukommelsen på den kompromitterede server.

Endelig tyr angribere ofte til stjålne legitimationsoplysningerHvis de får fat i brugernavn og adgangskode til en administrator eller en privilegeret konto, kan de logge ind via RDP eller andre kanaler og manuelt starte PowerShell-scripts, WMI-kommandoer eller administrative værktøjer, der indlæser malwaren i hukommelsen uden at efterlade nye eksekverbare filer på systemet.

Specifikke teknikker brugt af filløs malware

En af nøglerne til disse angreb er genbrug af native Windows-værktøjer som et redskab til deres scripts. Dette får ondsindet aktivitet til at blande sig med normale administrative opgaver, hvilket komplicerer analyse og respons.

Blandt de mest almindelige teknikker finder vi brugen af PowerShell som en indlejret kodestarter direkte fra kommandolinjen. For eksempel sendes et obfuskeret script som en parameter, udførelsespolitikken deaktiveres, vinduet skjules, og en nyttelast downloades direkte til hukommelsen, alt sammen uden at efterlade en .ps1-fil eller nogen mistænkelig eksekverbar fil synlig.

En anden meget populær taktik er at gemme ondsindede scripts i Windows Management Instrumentation (WMI)-abonnementerMed jævne mellemrum udløser WMI scriptet, som kan udføre kode fra hukommelsen, oprette forbindelse til kommando- og kontrolservere eller starte nye stadier af infektionen.

Ligeledes bruger mange grupper Windows-registreringsdatabasen og opgaveplanlæggeren som et tilflugtssted for deres scripts og kommandoer. I stedet for at placere en eksekverbar fil i startmappen definerer de startnøgler eller planlagte opgaver, der kører PowerShell-, mshta- eller rundll32-scripts med integreret eller on-the-fly-kode.

Teknikker ses også i refleksion i .NEThvor en letvægts eksekverbar fil indeholder krypterede eller komprimerede assemblies, der indlæses direkte i hukommelsen ved hjælp af Reflection.Load, uden nogensinde at blive skrevet som .dll-filer til disken. Dette muliggør implementering af meget sofistikerede trojanere i en enkelt, tilsyneladende normal proces.

Hvad kan et filløst angreb gøre?

Trods navnet er et filløst angreb ikke begrænset i sin effekt. Faktisk kan det udføre de samme funktioner som traditionel malwareinformationstyveri, datakryptering, lateral bevægelse, spionage, kryptovaluta-mining eller installation af permanente bagdøre.

Mange filløse kampagner opfører sig som legitimationstyvDette involverer indsamling af adgangskoder, sessionstokens eller godkendelseshashes fra hukommelsen i følsomme processer. Dette gør det nemmere at eskalere privilegier, kompromittere flere systemer og opretholde langvarig adgang uden at ty til yderligere binære filer.

Andre fokuserer på filløs ransomwarehvor en del af krypterings- og kommunikationslogikken udføres direkte i hukommelsen. Selvom en diskkomponent på et tidspunkt kan synes at manipulere et stort antal filer, udføres den indledende indlæsning og kontrol af angrebet med filløse teknikker for at undgå tidlig opdagelse.

Angribere kan også installere rootkits eller avancerede RAT'er Når disse værktøjer først er etableret, bruger de filløse kanaler til at modtage kommandoer, bevæge sig på tværs af netværket og opdatere moduler. Fordi de er integreret i systemprocesser eller kritiske tjenester, er disse værktøjer særligt vanskelige at udrydde.

På den økonomiske front udmønter effekten sig i datatab, serviceafbrydelser, bøder og omdømmeskadeDa disse indtrængen ofte går uopdaget i månedsvis, kan mængden af ​​​​exfiltrerede oplysninger og omfanget af bruddet være enormt.

Faser af et filløst malwareangreb

Selvom de tekniske aspekter er forskellige, er livscyklussen for et filløst angreb ret lig livscyklussen for ethvert avanceret indbrud. Hvilke ændringer er mekanismer, der anvendes i hver fase og den måde, de camouflerer sig på.

I stadiet af første adgangAngriberen har brug for et første fodfæste: et klik på et phishing-link, åbning af et dokument, der indeholder makroer, udnyttelse af en sårbar server eller genbrug af kompromitterede legitimationsoplysninger. Derfra er målet at udføre kode i målsystemet.

Når dette trin er nået, begynder den næste fase udførelse i hukommelsenDet er her, PowerShell, WMI, mshta, rundll32, VBScript, JScript eller andre fortolkere kommer i spil for at indlæse og aktivere nyttelasten uden at generere permanente eksekverbare filer på disken. Koden er typisk obfuskeret eller krypteret og dekrypteres kun i RAM.

Så begynder jagten vedholdenhedSelvom mange filløse nyttelaster forsvinder, når computeren genstartes, kombinerer sofistikerede angribere RAM-residente scripts med registreringsdatabasenøgler, planlagte opgaver eller WMI-abonnementer, der genstarter koden, hver gang en bestemt betingelse er opfyldt, f.eks. systemstart eller brugerlogin.

Endelig, den endelige mål Angriberens handlinger omfatter: datatyveri og -eksfiltrering, informationskryptering, udrulning af mere malware, kontinuerlig spionage og sabotage af kritiske systemer. Alt dette gøres under forsøg på at opretholde den lavest mulige profil for at undgå tidlige advarsler og retsmedicinsk analyse.

Hvorfor er det så svært at opdage?

Det store problem med filløs malware er, at Det bryder den klassiske forsvarsmodel baseret på filer og signaturerHvis der ikke er nogen mistænkelig eksekverbar fil at analysere, forbliver mange antivirusprogrammer blinde for, hvad der sker i hukommelsen og legitime processer.

Fraværet af filer på disken antyder, at Der er ingen objekter at scanne med jævne mellemrum på jagt efter kendte mønstre. Ved at udnytte binære filer signeret af selve operativsystemet, såsom PowerShell.exe, wscript.exe eller rundll32.exe, skjules skadelig aktivitet desuden bag navne, som administratoren normalt har tillid til.

Derudover har mange arvede produkter en Begrænset indsigt i kørende processerDe fokuserer på filsystemet og netværkstrafikken, men inspicerer knap nok interne API-kald, kommandolinjeparametre, scriptadfærd eller registreringsdatabasehændelser, der kan afsløre et filløst angreb.

Angriberne, der er bevidste om disse begrænsninger, tyr til teknikker til obfuskation, kryptering og kodefragmenteringFor eksempel opdeler de et ondsindet script i flere fragmenter, der samles i realtid, eller de skjuler instruktioner i billeder, indlejrede ressourcer eller tilsyneladende uskadelige strenge.

I miljøer, hvor systemer sjældent genstartes (kritiske servere, produktionsterminaler osv.), kan hukommelsesresident malware ... forblive aktive i uger eller måneder uden at blive opdaget, især hvis du bevæger dig forsigtigt og minimerer trafikmængden eller iøjnefaldende handlinger.

Begrænsninger ved traditionelle forsvarsværker

Mange udbyderes første reaktion på denne trussel har været at forsøge begrænse eller direkte blokere værktøjer som PowerShell eller Office-makroerSelvom det kan reducere nogle vektorer, er det ikke en realistisk eller komplet løsning i de fleste organisationer.

PowerShell er blevet en nøglekomponent til Windows-systemadministrationOpgaveautomatisering, softwareimplementering og serveradministration. En fuldstændig blokering ville lamme IT-arbejdsgange og tvinge en omlægning af adskillige interne processer.

Derudover er der fra angriberens synspunkt flere måder at omgåelse af en simpel blokeringspolitikDer findes teknikker til at indlæse PowerShell-motoren fra biblioteker (dll) ved hjælp af rundll32, konvertere scripts til eksekverbare filer med værktøjer som PS2EXE, bruge modificerede kopier af PowerShell.exe eller endda integrere PowerShell-scripts i PNG-billeder og køre dem med obfuskerede kommandolinjer.

Noget lignende sker med Office-makroer: Mange virksomheder er afhængige af dem at automatisere rapporter, beregninger og forretningsprocesser. Deaktivering af dem globalt kan ødelægge interne applikationer, mens det ofte resulterer i en vanskeligt håndterbar rate af falsk positive og falsk negative resultater, hvis man udelukkende stoler på statisk analyse af VBA-kode.

Derudover er nogle tilgange baseret på cloudbaseret detektion-som-en-tjeneste De kræver konstant forbindelse og opererer nogle gange med for stor forsinkelse til at forhindre den indledende udførelse af malwaren. Hvis blokeringsbeslutningen træffes sekunder eller minutter senere, kan skaden allerede være sket.

Fokus skifter: fra filer til adfærd

Da filen ikke længere er hovedelementet, fokuserer moderne forsvarsløsninger på overvåge processernes opførsel i stedet for blot at inspicere indholdet af filerne. Ideen er, at selvom der findes tusindvis af malware-varianter, er mønstrene for ondsindet aktivitet meget mindre forskelligartede.

Denne tilgang er afhængig af motorer fra adfærdsanalyse og maskinlæring der løbende overvåger, hvad hver proces gør: hvilke kommandoer den starter, hvilke systemressourcer den berører, hvordan den kommunikerer med omverdenen, og hvilke ændringer den forsøger at introducere i miljøet.

For eksempel kan en Office-proces markeres som mistænkelig, hvis udfører en obfuskeret PowerShell-kommando med parametre til at deaktivere sikkerhedspolitikker og downloade kode fra et mistænkeligt domæne. Eller en proces, der uden nogen åbenlys grund pludselig tilgår hundredvis af følsomme filer eller ændrer kritiske registreringsnøgler.

Den nyeste generation af EDR-systemer og XDR-platforme indsamler detaljeret telemetri af endpoints, servere og netværkog er i stand til at rekonstruere komplette historier (undertiden kaldet StoryLines) om, hvordan en hændelse opstod, hvilke processer der var involveret, og hvilke ændringer den berørte maskine gennemgik.

En god adfærdsmotor registrerer ikke kun truslen, men kan også afbøde eller automatisk omgøre ondsindede handlingerAfslut involverede processer, isoler computeren, gendan krypterede filer, fortryd ændringer i registreringsdatabasen og afbryd kommunikationen til kommando- og kontroldomæner.

Teknologier og kilder til vigtige begivenheder i Windows

For at analysere filløse trusler i Windows er det især nyttigt at drage fordel af native telemetrimekanismer i operativsystemet, som allerede er der og tilbyder en masse information om, hvad der sker bag kulisserne.

På den ene side er Hændelsessporing til Windows (ETW)ETW er et framework, der muliggør registrering af meget detaljerede hændelser relateret til procesudførelse, API-kald, hukommelsesadgang og andre interne systemaspekter. Mange EDR-løsninger er afhængige af ETW til at detektere atypisk adfærd i realtid.

En anden nøgledel er Antimalware Scan Interface (AMSI)AMSI er en API designet af Microsoft, der giver sikkerhedsmotorer mulighed for at inspicere scripts og dynamisk indhold lige før de kører, selvom de er obfuskeret. AMSI er især nyttigt med PowerShell, VBScript, JScript og andre scriptsprog.

Derudover analyseres moderne motorer regelmæssigt følsomme områder såsom registreringsdatabasen, opgavestyring, WMI-abonnementer eller scriptudførelsespolitikkerMistænkelige ændringer i disse områder er ofte et tegn på, at et filløst angreb har etableret vedholdenhed.

Alt dette suppleres af heuristikker, der ikke kun tager højde for den aktuelle proces, men også udførelseskontekst: hvor den overordnede proces kommer fra, hvilken netværksaktivitet der er blevet observeret før og efter, om der har været mærkelige fejl, unormale blokeringer eller andre signaler, der tilsammen tipper vægtskålen mod mistanke.

Praktiske strategier for detektion og forebyggelse

I praksis involverer det at beskytte sig mod disse trusler en kombination af teknologi, processer og træningDet er ikke nok at installere et antivirusprogram og glemme alt om det; der er behov for en lagdelt strategi, der er tilpasset den faktiske opførsel af filløs malware.

På et teknisk niveau er det vigtigt at implementere EDR- eller XDR-løsninger med adfærdsanalysefunktioner og synlighed på procesniveau. Disse værktøjer skal kunne registrere og korrelere aktivitet i realtid, blokere unormal adfærd og give klare retsmedicinske oplysninger til sikkerhedsteamet.

Det er også praktisk Begrænsning af brugen af ​​PowerShell, WMI og andre fortolkere til det strengt nødvendige, anvendelse af adgangskontrollister, scriptsignering (kodesignering) og udførelsespolitikker, der begrænser, hvilken kode der kan køres, og med hvilke rettigheder.

På brugersiden er træning fortsat afgørende: det er nødvendigt at styrke bevidsthed om phishing, mistænkelige links og uventede dokumenterDette er især vigtigt blandt personale med adgang til følsomme oplysninger eller højtstående privilegier. Reduktion af antallet af uforsigtige klik mindsker angrebsfladen betydeligt.

Endelig kan man ikke ignorere programrettelse og softwareopdateringscyklusMange filløse kæder starter med at udnytte kendte sårbarheder, som der allerede findes programrettelser til. At holde browsere, plugins, virksomhedsapplikationer og operativsystemer opdaterede lukker værdifulde døre for angribere.

Administrerede tjenester og trusselsjagt

I mellemstore og store organisationer, hvor antallet af arrangementer er enormt, er det svært for det interne team at se alt. Derfor vokser de i popularitet. overvågnings- og administrerede responstjenester (MDR/EMDR) og eksterne sikkerhedsoperationscentre (SOC'er).

Disse tjenester kombinerer avanceret teknologi med Analytikteams overvåger døgnet rundt deres klienters miljøer, hvilket korrelerer svage signaler, der ellers ville gå ubemærket hen. Ideen er at opdage adfærd, der er typisk for filløs malware, før der opstår skade.

Mange SOC'er er afhængige af rammer som f.eks. GERING ATT&CK at katalogisere modstanderes taktikker, teknikker og procedurer (TTP'er) og opbygge specifikke regler rettet mod in-memory-udførelse, LoLBins-misbrug, ondsindet WMI eller skjulte dataudrensningsmønstre.

Ud over løbende overvågning omfatter disse tjenester typisk retsmedicinsk analyse, hændelsesrespons og rådgivning at forbedre sikkerhedsarkitekturen, lukke tilbagevendende huller og styrke kontrollen på endpoints og servere.

For mange virksomheder er outsourcing af en del af denne funktion den mest rentable måde at holde trit med sådanne komplekse trusler, da ikke alle har råd til et internt team, der specialiserer sig i at jage avanceret malware.

Realiteten er, at filløs malware for altid har ændret den måde, vi forstår endpoint-sikkerhed på: Filer er ikke længere den eneste nøgleindikatorOg kun en kombination af dyb synlighed, adfærdsanalyse, god ledelsespraksis og en udvidet cybersikkerhedskultur kan holde det i skak i det daglige.