Malware fără fișiere: ce este, cum funcționează și cum să te aperi împotriva lui

Aventura universală » General » Malware fără fișiere: ce este, cum funcționează și cum să te aperi împotriva lui

În ultimii ani malware fără fișiere Malware-ul fără fișiere a devenit una dintre cele mai serioase bătăi de cap pentru echipele IT și de securitate. Nu vorbim despre virusul tipic pe care îl descărcați într-un atașament și îl puteți elimina cu o scanare antivirus, ci despre ceva mult mai discret care se ascunde în propriile procese ale sistemului.

Acest tip de amenințare profită instrumente legitime ale sistemului de operareMai ales pe Windows, poate executa cod malițios direct în memoria RAM. Deoarece nu lasă aproape nicio urmă pe disc, poate evita multe programe antivirus tradiționale și poate rămâne activ suficient de mult timp pentru a fura informații, a cripta fișiere sau a menține backdoor-uri fără a fi detectat.

Ce este mai exact un malware fără fișiere?

Când vorbim despre programe malware fără fișiere, ne referim la cod malițios care nu depinde de un executabil clasic pe disc să funcționeze. În loc să fie instalat ca orice alt program, acesta se bazează pe componente deja prezente în sistem (scripturi, servicii, interpreți de comenzi etc.) pentru a încărca și executa instrucțiunile sale direct în memorie.

Din punct de vedere tehnic, acest malware de obicei să fie injectat în procese care rulează deja sau pot fi lansate folosind comenzi care încarcă totul în memoria RAM. Aceasta înseamnă că, odată ce computerul este oprit sau repornit, multe variante dispar, dar între timp au suficient timp să provoace daune grave.

Comparativ cu programele malware bazate pe fișiere, aceste amenințări sunt mai ușor, mai discret și mult mai greu de urmăritNu veți găsi un fișier .exe suspect pe disc și nici neapărat un program de instalare rău intenționat: problema constă în ceea ce se întâmplă în cadrul proceselor care par a fi de încredere.

Ascensiunea acestei abordări a crescut vertiginos în jurul anului 2017, când campaniile au început să combine tehnicile fără fișiere cu troieni clicker, adware avansat și instrumente de acces la distanță (RAT)Astăzi, acestea au fost integrate în tot felul de operațiuni: de la spionaj și atacuri anti-piraterie (APT) la ransomware și criptominare.

Cum funcționează malware-ul fără fișiere în interior

Pentru a înțelege cum funcționează, merită să ne amintim că majoritatea aplicațiilor normale sunt distribuite ca fișier scris pe disc și apoi încărcat în memorie când utilizatorul îl rulează. Pe de altă parte, programele malware fără fișiere sar peste primul pas și se materializează direct în memoria RAM folosind mecanismele sistemului de operare în sine.

Multe campanii se bazează pe ideea de a „trăi de pe urma pământului” (trăind din pământ): atacatorul abuzează de puterile administrative legitime în loc să introducă noi fișiere binare. Pe Windows, exemplul principal este PowerShell, dar sunt exploatate și scripturile WMI, mshta, rundll32, VBScript sau JScript, precum și alte fișiere binare de încredere (LoLBins).

Un scenariu tipic ar fi: un utilizator deschide un document Office cu conținut rău intenționat sau dă clic pe un link de phishing; de acolo, un script care invocă PowerShell sau un alt instrument pentru a descărca, decripta sau injecta codul pentru următoarea fază în memorie. Toate acestea se pot întâmpla fără a crea un fișier permanent pe hard disk.

Un alt vector comun implică profitarea vulnerabilități de execuție a codului la distanță, cum ar fi supraîncărcările de buffer în browsere, pluginuri sau aplicații de server. Prin exploatarea vulnerabilității, atacatorul poate executa direct cod shell în cadrul procesului vulnerabil și, de acolo, poate încărca restul componentelor în memorie.

Unele variante recurg chiar la Registrul Windows sau activitățile programate pentru a stoca scripturi sau comenzi care reactivează atacul atunci când sistemul pornește sau un utilizator se conectează. Chiar dacă ceva este scris în Registru, logica principală rău intenționată continuă să ruleze în memorie, ceea ce face dificilă detectarea cu instrumente concentrate exclusiv pe sistemul de fișiere.

Metode de infectare și acces inițial

Ușa de la intrare este de obicei destul de clasică: e-mailuri de phishing, linkuri rău intenționate și documente falsificate Ei rămân regii accesului inițial, chiar dacă se folosesc tehnici fără fișiere. Secretul este că, pe parcursul întregului lanț, se depun toate eforturile pentru a minimiza orice amprentă pe disc.

Sunt folosite în multe incidente Documente Microsoft Office cu macrocomenzi Când sunt activate, aceste macrocomenzi apelează PowerShell sau WMI pentru a descărca și executa următoarea etapă a atacului în memorie. Chiar și fără macrocomenzi, atacatorii exploatează vulnerabilități în Word, Excel, Cititoare PDF sau motorul de scripting în sine pentru a realiza execuția codului.

O altă abordare implică utilizarea directă a pârghiei executabile aparent inofensive pe care utilizatorul îl primește prin e-mail sau descărcat de pe web. Acest executabil poate extrage un modul rău intenționat și îl poate încărca în memorie folosind tehnici precum reflecția în .NET, fără a-l salva efectiv pe disc ca fișier separat.

Există, de asemenea, campanii care vizează serverele web sau aplicațiile expuse la internet, unde vulnerabilitatea este utilizată pentru a implementa webshell-uri cu componente fără fișiereUn exemplu recent este utilizarea Godzilla și a unor instrumente similare, în care codul malițios se deplasează în cadrul cererilor HTTP și este injectat direct în memoria serverului compromis.

În cele din urmă, atacatorii recurg frecvent la acreditări furateDacă obțin numele de utilizator și parola unui administrator sau a unui cont privilegiat, se pot conecta prin RDP sau alte canale și pot lansa manual scripturi PowerShell, comenzi WMI sau instrumente administrative care încarcă malware-ul în memorie fără a lăsa fișiere executabile noi în sistem.

Tehnici specifice utilizate de programele malware fără fișiere

Una dintre cheile acestor atacuri este reutilizarea instrumente Windows native ca vehicul pentru scripturile lor. Acest lucru face ca activitatea rău intenționată să se amestece cu sarcinile administrative normale, complicând analiza și răspunsul.

Printre cele mai comune tehnici găsim utilizarea PowerShell ca lansator de cod încorporat direct din linia de comandă. De exemplu, un script ofuscat este transmis ca parametru, politica de execuție este dezactivată, fereastra este ascunsă și o sarcină utilă este descărcată direct în memorie, toate acestea fără a lăsa vizibil un fișier .ps1 sau vreun executabil suspect.

O altă tactică foarte populară este stocarea scripturilor rău intenționate în Abonamente la Instrumentația de administrare Windows (WMI)Din când în când, WMI declanșează scriptul, care poate executa cod din memorie, se poate conecta la servere de comandă și control sau poate lansa noi etape ale infecției.

În mod similar, multe grupuri folosesc Registrul Windows și Programatorul de activități ca refugiu pentru scripturile și comenzile lor. În loc să plaseze un executabil în folderul de pornire, aceștia definesc chei de pornire sau sarcini programate care execută scripturi PowerShell, mshta sau rundll32 cu cod încorporat sau din mers.

Tehnicile sunt observate și în reflecție în .NETunde un executabil ușor conține ansambluri criptate sau comprimate care sunt încărcate direct în memorie folosind Reflection.Load, fără a fi scrise vreodată ca fișiere .dll pe disc. Acest lucru permite implementarea unor troieni foarte sofisticați într-un singur proces aparent normal.

Ce poate face un atac fără fișiere?

În ciuda numelui său, un atac fără fișiere nu are un impact limitat. De fapt, poate performa aceleași funcții ca malware-ul tradiționalfurtul de informații, criptarea datelor, deplasarea laterală, spionajul, mineritul de criptomonede sau instalarea de backdoor-uri permanente.

Multe campanii fără fișiere se comportă astfel hoț de acredităriAceasta implică capturarea parolelor, a token-urilor de sesiune sau a hash-urilor de autentificare din memoria proceselor sensibile. Acest lucru facilitează escaladarea privilegiilor, compromiterea mai multor sisteme și menținerea accesului prelungit fără a recurge la fișiere binare suplimentare.

Alții se concentrează pe ransomware fără fișiereunde o parte a logicii de criptare și comunicare este executată direct în memorie. Deși o componentă a discului poate apărea la un moment dat pentru a manipula un număr mare de fișiere, încărcarea inițială și controlul atacului se fac cu tehnici fără fișiere pentru a evita detectarea timpurie.

Atacatorii pot instala, de asemenea, rootkit-uri sau RAT-uri avansate Odată stabilite, aceste instrumente utilizează canale fără fișiere pentru a primi comenzi, a se deplasa în rețea și a actualiza module. Deoarece sunt integrate în procesele sistemului sau în serviciile critice, aceste instrumente sunt deosebit de dificil de eradicat.

Pe plan economic, impactul se traduce prin pierderi de date, întreruperi de servicii, amenzi și daune aduse reputațieiÎntrucât aceste intruziuni rămân adesea nedetectate timp de luni de zile, volumul de informații exfiltrate și amploarea breșei pot fi enorme.

Fazele unui atac malware fără fișiere

Deși aspectele tehnice sunt diferite, ciclul de viață al unui atac fără fișiere este destul de similar cu cel al oricărei intruziuni avansate. Ce schimbări sunt mecanisme utilizate în fiecare fază și modul în care se camuflează.

În etapa de accesul inițialAtacatorul are nevoie de un punct de sprijin inițial: un clic pe un link de phishing, deschiderea unui document care conține macrocomenzi, exploatarea unui server vulnerabil sau reutilizarea unor credențiale compromise. De acolo, scopul este de a executa cod în sistemul țintă.

Odată ce acest pas este realizat, începe următoarea fază execuție în memorieAici intră în joc PowerShell, WMI, mshta, rundll32, VBScript, JScript sau alți interpreți pentru a încărca și activa sarcina utilă fără a genera executabile permanente pe disc. Codul este de obicei ofuscat sau criptat și decriptat doar în memoria RAM.

Apoi începe urmărirea persistențăDeși multe sarcini utile fără fișiere dispar la repornirea computerului, atacatorii sofisticați combină scripturi rezidente în RAM cu chei de registry, sarcini programate sau abonamente WMI care relansează codul de fiecare dată când este îndeplinită o anumită condiție, cum ar fi pornirea sistemului sau conectarea utilizatorului.

În cele din urmă, obiective finale Acțiunile atacatorului includ: furtul și exfiltrarea de date, criptarea informațiilor, implementarea mai multor programe malware, spionaj continuu și sabotajul sistemelor critice. Toate acestea se fac încercând să se mențină un profil cât mai scăzut posibil pentru a evita alertele timpurii și analizele criminalistice.

De ce este atât de greu de detectat?

Marea problemă cu programele malware fără fișiere este că Încalcă modelul clasic de apărare bazat pe fișiere și semnăturiDacă nu există niciun executabil suspect de analizat, multe motoare antivirus rămân oarbe la ceea ce se întâmplă în memorie și în procesele legitime.

Absența fișierelor pe disc implică faptul că Nu există obiecte de scanat periodic în căutarea unor tipare cunoscute. În plus, prin utilizarea fișierelor binare semnate chiar de sistemul de operare, cum ar fi PowerShell.exe, wscript.exe sau rundll32.exe, activitatea rău intenționată este deghizată în spatele unor nume în care administratorul are încredere în mod normal.

În plus, multe produse moștenite au o Vizibilitate limitată asupra proceselor care ruleazăSe concentrează pe sistemul de fișiere și pe traficul de rețea, dar abia inspectează apelurile API interne, parametrii liniei de comandă, comportamentul scripturilor sau evenimentele din Registry care ar putea trăda un atac fără fișiere.

Atacatorii, conștienți de aceste limitări, recurg la tehnici de ofuscare, criptare și fragmentare a coduluiDe exemplu, acestea împart un script malițios în mai multe fragmente care sunt asamblate în timp real sau ascund instrucțiuni în imagini, resurse încorporate sau șiruri de caractere aparent inofensive.

În mediile în care sistemele sunt rar repornite (servere critice, terminale de producție etc.), programele malware rezidente în memorie pot... rămân activi timp de săptămâni sau luni fără a fi detectat, mai ales dacă te miști cu prudență și reduci la minimum volumul traficului sau acțiunile ostentative.

Limitările apărărilor tradiționale

Răspunsul inițial al multor furnizori la această amenințare a fost să încerce restricționează sau blochează direct instrumente precum PowerShell sau macrocomenzi OfficeDeși poate reduce anumiți vectori, nu este o soluție realistă sau completă în majoritatea organizațiilor.

PowerShell a devenit un componentă cheie pentru administrarea sistemului WindowsAutomatizarea sarcinilor, implementarea de software și gestionarea serverelor. Blocarea completă a acestora ar paraliza fluxurile de lucru IT și ar forța reluarea a numeroase procese interne.

În plus, din punctul de vedere al atacatorului, există mai multe modalități de a ocolirea unei simple politici de blocareExistă tehnici pentru a încărca motorul PowerShell din biblioteci (dll) folosind rundll32, pentru a converti scripturile în executabile cu instrumente precum PS2EXE, pentru a utiliza copii modificate ale PowerShell.exe sau chiar pentru a încorpora scripturi PowerShell în imagini PNG și a le rula cu linii de comandă ofuscate.

Ceva similar se întâmplă și cu macrocomenzile Office: Multe companii depind de ele pentru a automatiza rapoarte, calcule și procese de business. Dezactivarea lor la nivel global poate duce la întreruperea aplicațiilor interne, în timp ce bazarea exclusivă pe analiza statică a codului VBA duce adesea la o rată de rezultate fals pozitive și fals negative dificil de gestionat.

În plus, unele abordări bazate pe detecție ca serviciu bazată pe cloud Acestea necesită conectivitate constantă și, uneori, funcționează cu prea multă întârziere pentru a preveni execuția inițială a malware-ului. Dacă decizia de blocare este luată câteva secunde sau minute mai târziu, este posibil ca paguba să fie deja făcută.

Schimbări de focus: de la fișiere la comportament

Întrucât fișierul nu mai este elementul principal, soluțiile moderne de apărare se concentrează pe monitorizarea comportamentului proceselor în loc să inspecteze doar conținutul fișierelor. Ideea este că, deși există mii de variante de malware, tiparele de activitate rău intenționată sunt mult mai puțin diverse.

Această abordare se bazează pe motoare de analiza comportamentală și învățarea automată care monitorizează continuu ce face fiecare proces: ce comenzi lansează, ce resurse de sistem atinge, cum comunică cu lumea exterioară și ce schimbări încearcă să introducă în mediu.

De exemplu, un proces Office poate fi marcat ca suspect dacă execută o comandă PowerShell ofuscată cu parametri pentru dezactivarea politicilor de securitate și descărcarea codului dintr-un domeniu suspect. Sau un proces care, fără niciun motiv aparent, accesează brusc sute de fișiere sensibile sau modifică chei de registry critice.

Cea mai recentă generație de sisteme EDR și platforme XDR colectează telemetrie detaliată a endpoint-urilor, serverelor și rețeleiși sunt capabile să reconstruiască povești complete (uneori numite StoryLines) despre cum a apărut un incident, ce procese au fost implicate și ce modificări a suferit mașina afectată.

Un motor comportamental bun nu numai că detectează amenințarea, dar poate atenuează sau inversează automat acțiunile rău intenționate: închide procesele implicate, izolează computerul, restaurează fișierele criptate, anulează modificările aduse Registrului și întrerupe comunicațiile către domeniile de comandă și control.

Tehnologii și surse ale evenimentelor cheie în Windows

Pentru a analiza amenințările fără fișiere în Windows, este deosebit de util să profitați de mecanisme de telemetrie native ale sistemului de operare, care există deja și oferă o mulțime de informații despre ce se întâmplă în culise.

Pe de o parte este Urmărirea evenimentelor pentru Windows (ETW)ETW este un framework care permite înregistrarea unor evenimente extrem de detaliate legate de execuția proceselor, apelurile API, accesul la memorie și alte aspecte interne ale sistemului. Multe soluții EDR se bazează pe ETW pentru a detecta comportamente atipice în timp real.

O altă piesă cheie este Interfață de scanare antimalware (AMSI)AMSI este o API concepută de Microsoft pentru a permite motoarelor de securitate să inspecteze scripturile și conținutul dinamic chiar înainte de a rula, chiar dacă sunt ofuscate. AMSI este util în special cu PowerShell, VBScript, JScript și alte limbaje de scripting.

În plus, motoarele moderne sunt analizate periodic zone sensibile precum Registrul, Programatorul de activități, abonamentele WMI sau politicile de execuție a scripturilorModificările suspecte în aceste zone sunt adesea un semn că un atac fără fișiere și-a stabilit persistența.

Toate acestea sunt completate de euristici care iau în considerare nu doar procesul curent, ci și contextul de execuție: de unde provine procesul părinte, ce activitate de rețea a fost observată înainte și după, dacă au existat defecțiuni ciudate, blocaje anormale sau alte semnale care, combinate, înclină balanța spre suspiciune.

Strategii practice de detectare și prevenire

În practică, protejarea de aceste amenințări implică combinarea tehnologie, procese și instruireNu este suficient să instalezi un antivirus și să uiți de el; este nevoie de o strategie stratificată, adaptată comportamentului real al programelor malware fără fișiere.

La nivel tehnic, este esențial să se implementeze Soluții EDR sau XDR cu capacități de analiză comportamentală și vizibilitate la nivel de proces. Aceste instrumente trebuie să fie capabile să înregistreze și să coreleze activitatea în timp real, să blocheze comportamentele anormale și să ofere informații criminalistice clare echipei de securitate.

Este, de asemenea, convenabil Restricționarea utilizării PowerShell, WMI și a altor interpretoare la ceea ce este strict necesar, aplicând liste de control al accesului, semnarea scripturilor (Code Signing) și politici de execuție care limitează ce cod poate rula și cu ce privilegii.

Din partea utilizatorului, instruirea rămâne crucială: este necesară consolidarea conștientizarea phishing-ului, a linkurilor suspecte și a documentelor neașteptateAcest lucru este deosebit de important în rândul personalului cu acces la informații sensibile sau privilegii de nivel înalt. Reducerea numărului de clicuri din neglijență scade semnificativ suprafața de atac.

În cele din urmă, nu se poate neglija ciclul de actualizare a patch-urilor și software-uluiMulte lanțuri fără fișiere încep prin a exploata vulnerabilități cunoscute pentru care există deja patch-uri. Menținerea la zi a browserelor, plugin-urilor, aplicațiilor enterprise și sistemelor de operare închide uși valoroase pentru atacatori.

Servicii gestionate și vânătoare de amenințări

În organizațiile medii și mari, unde volumul de evenimente este enorm, este dificil pentru echipa internă să vadă totul. De aceea, popularitatea lor crește. servicii de monitorizare și răspuns gestionat (MDR/EMDR) și centre de operațiuni de securitate externe (SOC).

Aceste servicii combină tehnologia avansată cu echipe de analiști care monitorizează 24/7 mediile clienților lor, corelând semnale slabe care altfel ar trece neobservate. Ideea este de a detecta comportamente tipice programelor malware fără fișiere înainte de a se produce daune.

Multe SOC-uri se bazează pe framework-uri precum MITRE ATT & CK pentru a cataloga tacticile, tehnicile și procedurile (TTP) ale adversarilor și pentru a construi reguli specifice orientate spre execuția în memorie, abuzul LoLBins, WMI rău intenționat sau modele de exfiltrare ascunsă a datelor.

Pe lângă monitorizarea continuă, aceste servicii includ de obicei analiză criminalistică, răspuns la incidente și consultanță pentru a îmbunătăți arhitectura de securitate, a elimina lacunele recurente și a consolida controalele asupra endpoint-urilor și serverelor.

Pentru multe companii, externalizarea unei părți a acestei funcții este cea mai viabilă modalitate de a ține pasul cu astfel de amenințări complexe, deoarece nu toată lumea își poate permite o echipă internă specializată în vânarea de programe malware avansate.

Realitatea este că programele malware fără fișiere au schimbat pentru totdeauna modul în care înțelegem securitatea endpoint-urilor: Fișierele nu mai sunt singurul indicator cheieȘi doar o combinație de vizibilitate profundă, analiză comportamentală, bune practici de management și o cultură extinsă a securității cibernetice o poate ține sub control zi de zi.