Fillös skadlig kod: vad det är, hur det fungerar och hur man skyddar sig mot det

Universellt äventyr » Allmänt » Fillös skadlig kod: vad det är, hur det fungerar och hur man skyddar sig mot det

Under de senaste åren fillös skadlig kod Fillös skadlig kod har blivit ett av de allvarligaste problemen för IT- och säkerhetsavdelningar. Vi pratar inte om det typiska viruset som man laddar ner i en bilaga och kan ta bort med en antivirusskanning, utan om något mycket mer dolt som gömmer sig i systemets egna processer.

Den här typen av hot utnyttjar legitima operativsystemverktygSpeciellt i Windows kan den köra skadlig kod direkt i RAM-minnet. Eftersom den nästan inte lämnar några spår på disken kan den kringgå många traditionella antivirusprogram och förbli aktiv tillräckligt länge för att stjäla information, kryptera filer eller underhålla bakdörrar utan att bli upptäckt.

Vad exakt är fillös skadlig kod?

När vi pratar om fillös skadlig kod syftar vi på skadlig kod som inte är beroende av en klassisk körbar fil på disken för att fungera. Istället för att installeras som vilket annat program som helst, förlitar det sig på komponenter som redan finns i systemet (skript, tjänster, kommandotolkar etc.) för att ladda och exekvera sina instruktioner direkt i minnet.

Tekniskt sett brukar denna skadliga programvara att injiceras i processer som redan körs eller så kan de startas med kommandon som laddar allt till RAM-minnet. Det betyder att när datorn stängs av eller startas om försvinner många varianter, men under tiden har de gott om tid att orsaka allvarlig skada.

Jämfört med filbaserad skadlig kod är dessa hot lättare, mer diskret och mycket svårare att spåraDu hittar inte en misstänkt .exe-fil på disken, och inte nödvändigtvis heller ett skadligt installationsprogram: problemet ligger i vad som händer i processer som verkar vara betrodda.

Uppkomsten av denna metod skjutde i höjden runt 2017, då kampanjer började kombinera fillösa tekniker med klicktrojaner, avancerad annonsprogramvara och verktyg för fjärråtkomst (RAT)Idag har de integrerats i alla typer av operationer: från spionage och APT:er till ransomware och kryptoutvinning.

Hur fillös skadlig kod fungerar inuti

För att förstå hur det fungerar är det värt att komma ihåg att de flesta vanliga applikationer distribueras som en fil som skrivs till disk och sedan laddas in i minnet när användaren kör den. Fillös skadlig kod, å andra sidan, hoppar över det första steget och materialiseras direkt i RAM-minnet med hjälp av mekanismer i själva operativsystemet.

Många kampanjer bygger på idén att "leva av landet" (leva av marken): angriparen missbrukar legitima administrativa befogenheter istället för att introducera nya binärfiler. På Windows är PowerShell det främsta exemplet, men WMI, mshta, rundll32, VBScript- eller JScript-skript och andra betrodda binärfiler (LoLBins) utnyttjas också.

Ett typiskt scenario skulle vara: en användare öppnar ett Office-dokument med skadligt innehåll eller klickar på en nätfiskelänk; därifrån en skript som anropar PowerShell eller ett annat verktyg för att ladda ner, dekryptera eller injicera koden för nästa fas i minnet. Allt detta kan ske utan att skapa en permanent fil på hårddisken.

En annan vanlig vektor innebär att man utnyttjar sårbarheter för fjärrkodkörning, såsom buffertöverflöden i webbläsare, plugin-program eller serverapplikationer. Genom att utnyttja sårbarheten kan angriparen direkt köra skalkod i den sårbara processen och därifrån ladda resten av komponenterna till minnet.

Vissa varianter tillgriper till och med Windows-registret eller schemalagda uppgifter för att lagra skript eller kommandon som återaktiverar attacken när systemet startar eller en användare loggar in. Även om något skrivs till registret fortsätter den huvudsakliga skadliga logiken att köras i minnet, vilket gör det svårt att upptäcka med verktyg som enbart fokuserar på filsystemet.

Infektionsmetoder och initial åtkomst

Ytterdörren är vanligtvis ganska klassisk: nätfiskemejl, skadliga länkar och förfalskade dokument De förblir kungarna av initial åtkomst, även om fillösa tekniker används undertill. Tricket är att genom hela kedjan görs allt för att minimera eventuellt diskavtryck.

I många fall används de Microsoft Office-dokument med makron När de aktiveras anropar dessa makron PowerShell eller WMI för att ladda ner och köra nästa steg i attacken i minnet. Även utan makron utnyttjar angripare sårbarheter i Word, Excel, PDF -läsare eller själva skriptmotorn för att uppnå kodkörning.

En annan metod innebär att man direkt utnyttjar till synes ofarliga körbara filer som användaren får via e-post eller nedladdning från webben. Denna körbara fil kan extrahera en skadlig modul och ladda den i minnet med hjälp av tekniker som reflektion i .NET, utan att faktiskt spara den på disk som en separat fil.

Det finns också kampanjer som riktar sig mot webbservrar eller applikationer som är exponerade för internet, där sårbarheten används för att distribuera webbshells med fillösa komponenterEtt aktuellt exempel är användningen av Godzilla och liknande verktyg, där skadlig kod färdas inom HTTP-förfrågningar och injiceras direkt i minnet på den komprometterade servern.

Slutligen tillgriper angripare ofta stulna inloggningsuppgifterOm de får tag på användarnamn och lösenord för en administratör eller ett privilegierat konto kan de logga in via RDP eller andra kanaler och manuellt starta PowerShell-skript, WMI-kommandon eller administrativa verktyg som laddar skadlig programvara i minnet utan att lämna några nya körbara filer på systemet.

Specifika tekniker som används av fillös skadlig kod

En av nycklarna till dessa attacker är återanvändningen av inbyggda Windows-verktyg som ett verktyg för sina skript. Detta gör att skadlig aktivitet blandas in i vanliga administrativa uppgifter, vilket komplicerar analys och respons.

Bland de vanligaste teknikerna finner vi användningen av PowerShell som en inbäddad kodstartare direkt från kommandoraden. Till exempel skickas ett obfuskerat skript som en parameter, körningspolicyn inaktiveras, fönstret döljs och en nyttolast laddas ner direkt till minnet, allt utan att lämna en .ps1-fil eller någon misstänkt körbar fil synlig.

En annan mycket populär taktik är att lagra skadliga skript i Windows Management Instrumentation (WMI)-prenumerationerDå och då utlöser WMI skriptet, vilket kan köra kod från minnet, ansluta till kommando- och kontrollservrar eller starta nya steg i infektionen.

På liknande sätt använder många grupper Windows-registret och aktivitetsschemaläggaren som en tillflyktsort för sina skript och kommandon. Istället för att placera en körbar fil i startmappen definierar de startnycklar eller schemalagda uppgifter som kör PowerShell-, mshta- eller rundll32-skript med inbäddad eller omedelbar kod.

Tekniker ses också i reflektion i .NETdär en lättviktig körbar fil innehåller krypterade eller komprimerade sammansättningar som laddas direkt i minnet med hjälp av Reflection.Load, utan att någonsin skrivas som .dll-filer till disk. Detta möjliggör distribution av mycket sofistikerade trojaner inom en enda, till synes normal process.

Vad kan en fillös attack göra?

Trots namnet är en fillös attack inte begränsad i sin effekt. Den kan faktiskt utföra samma funktioner som traditionell skadlig kod: informationsstöld, datakryptering, lateral förflyttning, spionage, kryptovalutautvinning eller installation av permanenta bakdörrar.

Många fillösa kampanjer beter sig som referenstjuvDetta innebär att man samlar in lösenord, sessionstokens eller autentiseringshashes från minnet hos känsliga processer. Detta gör det enklare att eskalera behörigheter, kompromettera fler system och upprätthålla långvarig åtkomst utan att behöva använda ytterligare binärfiler.

Andra fokuserar på fillös ransomwaredär en del av krypterings- och kommunikationslogiken exekveras direkt i minnet. Även om en diskkomponent vid någon tidpunkt kan tyckas manipulera ett stort antal filer, sker den initiala inläsningen och kontrollen av attacken med fillösa tekniker för att undvika tidig upptäckt.

Angripare kan också installera rootkits eller avancerade RAT:er När dessa verktyg väl är etablerade använder de fillösa kanaler för att ta emot kommandon, förflytta sig över nätverket och uppdatera moduler. Eftersom de är integrerade i systemprocesser eller kritiska tjänster är dessa verktyg särskilt svåra att utrota.

På den ekonomiska fronten innebär effekten dataförlust, avbrott i tjänsten, böter och skadat rykteEftersom dessa intrång ofta går oupptäckta i månader kan volymen av utstött information och omfattningen av intrånget vara enorm.

Faser av en fillös skadlig attack

Även om de tekniska aspekterna skiljer sig åt, är livscykeln för en fillös attack ganska lik den för alla avancerade intrång. Vilka förändringar är de mekanismer som används i varje fas och hur de kamouflerar sig.

I stadiet av initial åtkomstAngriparen behöver ett första fotfäste: ett klick på en nätfiskelänk, öppnandet av ett dokument som innehåller makron, utnyttjandet av en sårbar server eller återanvändning av komprometterade inloggningsuppgifter. Därifrån är målet att exekvera kod i målsystemet.

När det steget är uppnått börjar nästa fas körning i minnetDet är här PowerShell, WMI, mshta, rundll32, VBScript, JScript eller andra tolkar kommer in i bilden för att ladda och aktivera nyttolasten utan att generera permanenta körbara filer på disken. Koden är vanligtvis obfuskerad eller krypterad och dekrypteras endast i RAM-minnet.

Sedan börjar jakten persistensÄven om många fillösa nyttolaster försvinner när datorn startas om, kombinerar sofistikerade angripare RAM-residenta skript med registernycklar, schemalagda uppgifter eller WMI-prenumerationer som startar om koden varje gång ett specifikt villkor är uppfyllt, till exempel systemstart eller användarinloggning.

Slutligen, den slutliga mål Angriparens handlingar inkluderar: datastöld och exfiltrering, informationskryptering, utplacering av mer skadlig kod, kontinuerlig spionage och sabotage av kritiska system. Allt detta görs med en strävan att bibehålla lägsta möjliga profil för att undvika tidiga varningar och forensisk analys.

Varför är det så svårt att upptäcka?

Det stora problemet med fillös skadlig kod är att Det bryter mot den klassiska försvarsmodellen baserad på filer och signaturerOm det inte finns någon misstänkt körbar fil att analysera, förblir många antivirusmotorer blinda för vad som händer i minnet och legitima processer.

Avsaknaden av filer på disken innebär att Det finns inga objekt att skanna regelbundet i sökandet efter kända mönster. Genom att utnyttja binärfiler som signerats av själva operativsystemet, såsom PowerShell.exe, wscript.exe eller rundll32.exe, döljs dessutom skadlig aktivitet bakom namn som administratören normalt litar på.

Dessutom har många ärvda produkter en Begränsad insyn i pågående processerDe fokuserar på filsystemet och nätverkstrafiken, men inspekterar knappt interna API-anrop, kommandoradsparametrar, skriptbeteende eller registerhändelser som kan avslöja en fillös attack.

Angriparna, medvetna om dessa begränsningar, tillgriper tekniker för obfuskation, kryptering och kodfragmenteringTill exempel delar de upp ett skadligt skript i flera fragment som sätts ihop i realtid, eller så döljer de instruktioner i bilder, inbäddade resurser eller till synes oskyldiga strängar.

I miljöer där system sällan startas om (kritiska servrar, produktionsterminaler etc.) kan minnesresidenta skadliga program förbli aktiv i veckor eller månader utan att bli upptäckt, särskilt om du rör dig försiktigt och minimerar trafikvolymen eller iögonfallande handlingar.

Begränsningar av traditionella försvar

Många leverantörers första reaktion på detta hot har varit att försöka begränsa eller direkt blockera verktyg som PowerShell eller Office-makronÄven om det kan minska vissa vektorer är det inte en realistisk eller komplett lösning i de flesta organisationer.

PowerShell har blivit en nyckelkomponent för Windows systemadministrationAutomatisering av uppgifter, programvarudistribution och serverhantering. Att blockera det helt skulle förlama IT-arbetsflöden och tvinga fram omarbetning av många interna processer.

Dessutom, ur angriparens synvinkel, finns det flera sätt att kringgå en enkel blockeringspolicyDet finns tekniker för att ladda PowerShell-motorn från bibliotek (dll) med hjälp av rundll32, konvertera skript till körbara filer med verktyg som PS2EXE, använda modifierade kopior av PowerShell.exe, eller till och med bädda in PowerShell-skript i PNG-bilder och köra dem med obfuskerade kommandorader.

Något liknande händer med Office-makron: Många företag är beroende av dem för att automatisera rapporter, beräkningar och affärsprocesser. Att inaktivera dem globalt kan orsaka förstörelse i interna applikationer, medan det att enbart förlita sig på statisk analys av VBA-kod ofta resulterar i en svårhanterlig andel falskt positiva och falskt negativa resultat.

Dessutom vissa metoder baserade på molnbaserad detektion-som-en-tjänst De kräver konstant uppkoppling och fungerar ibland med för mycket fördröjning för att förhindra den initiala exekveringen av skadlig programvara. Om blockeringsbeslutet fattas sekunder eller minuter senare kan skadan redan vara skedd.

Fokus skiftar: från filer till beteende

Eftersom filen inte längre är huvudelementet fokuserar moderna försvarslösningar på övervaka processernas beteende istället för att bara granska innehållet i filerna. Tanken är att även om det finns tusentals varianter av skadlig kod, är mönstren för skadlig aktivitet mycket mindre varierande.

Denna metod bygger på motorer från beteendeanalys och maskininlärning som kontinuerligt övervakar vad varje process gör: vilka kommandon den startar, vilka systemresurser den berör, hur den kommunicerar med omvärlden och vilka förändringar den försöker införa i miljön.

Till exempel kan en Office-process flaggas som misstänkt om kör ett obfuskerat PowerShell-kommando med parametrar för att inaktivera säkerhetspolicyer och ladda ner kod från en misstänkt domän. Eller en process som, utan någon uppenbar anledning, plötsligt får åtkomst till hundratals känsliga filer eller ändrar kritiska registernycklar.

Den senaste generationen av EDR-system och XDR-plattformar samlar in detaljerad telemetri av slutpunkter, servrar och nätverkoch kan rekonstruera kompletta berättelser (ibland kallade StoryLines) om hur en incident uppstod, vilka processer som var inblandade och vilka förändringar den drabbade maskinen genomgick.

En bra beteendemotor upptäcker inte bara hotet, utan kan mildra eller automatiskt återställa skadliga handlingarAvsluta inblandade processer, isolera datorn, återställa krypterade filer, ångra ändringar i registret och avbryta kommunikationen till kommando- och kontrolldomäner.

Tekniker och källor för viktiga händelser i Windows

För att analysera fillösa hot i Windows är det särskilt användbart att dra nytta av inbyggda telemetrimekanismer för operativsystem, som redan finns där och erbjuder mycket information om vad som händer bakom kulisserna.

Å ena sidan är Händelsespårning för Windows (ETW)ETW är ett ramverk som möjliggör registrering av mycket detaljerade händelser relaterade till processkörning, API-anrop, minnesåtkomst och andra interna systemaspekter. Många EDR-lösningar förlitar sig på ETW för att upptäcka atypiskt beteende i realtid.

En annan viktig del är Antimalware Scan Interface (AMSI)AMSI är ett API utformat av Microsoft för att tillåta säkerhetsmotorer att inspektera skript och dynamiskt innehåll precis innan de körs, även om de är obfuskerade. AMSI är särskilt användbart med PowerShell, VBScript, JScript och andra skriptspråk.

Dessutom analyseras moderna motorer regelbundet känsliga områden som registret, aktivitetsschemaläggaren, WMI-prenumerationer eller skriptkörningsprinciperMisstänkta förändringar i dessa områden är ofta ett tecken på att en fillös attack har etablerat beständighet.

Allt detta kompletteras av heuristik som inte bara tar hänsyn till den aktuella processen, utan även exekveringskontext: varifrån moderprocessen kommer, vilken nätverksaktivitet som har observerats före och efter, om det har förekommit konstiga fel, avvikande blockeringar eller andra signaler som tillsammans gör att vågskålen blir misstänksam.

Praktiska strategier för upptäckt och förebyggande

I praktiken innebär det att skydda sig mot dessa hot att kombinera teknik, processer och utbildningDet räcker inte att installera ett antivirusprogram och glömma bort det; en strategi i flera lager anpassad till det verkliga beteendet hos fillös skadlig kod behövs.

På en teknisk nivå är det viktigt att driftsätta EDR- eller XDR-lösningar med beteendeanalysfunktioner och insyn på processnivå. Dessa verktyg måste kunna registrera och korrelera aktivitet i realtid, blockera avvikande beteenden och ge tydlig forensisk information till säkerhetsteamet.

Det är också bekvämt Begränsa användningen av PowerShell, WMI och andra tolkar till vad som är absolut nödvändigt, genom att tillämpa åtkomstkontrolllistor, skriptsignering (kodsignering) och exekveringspolicyer som begränsar vilken kod som kan köras och med vilka behörigheter.

På användarsidan är utbildning fortfarande avgörande: det är nödvändigt att förstärka medvetenhet om nätfiske, misstänkta länkar och oväntade dokumentDetta är särskilt viktigt bland personal med tillgång till känslig information eller höga privilegier. Att minska antalet slarviga klick minskar attackytan avsevärt.

Slutligen kan man inte försumma patch- och programuppdateringscykelMånga fillösa kedjor börjar med att utnyttja kända sårbarheter för vilka det redan finns patchar. Att hålla webbläsare, plugin-program, företagsapplikationer och operativsystem uppdaterade stänger värdefulla dörrar för angripare.

Hanterade tjänster och hotjakt

I medelstora och stora organisationer, där volymen av evenemang är enorm, är det svårt för det interna teamet att se allt. Det är därför de blir alltmer populära. övervaknings- och hanterade responstjänster (MDR/EMDR) och externa säkerhetscentraler (SOC).

Dessa tjänster kombinerar avancerad teknik med Analytiker som övervakar dygnet runt klientmiljöerna, vilket korrelerar svaga signaler som annars skulle gå obemärkt förbi. Tanken är att upptäcka beteenden som är typiska för fillös skadlig kod innan skada uppstår.

Många SOC:er förlitar sig på ramverk som MITER ATT & CK att katalogisera motståndares taktiker, tekniker och procedurer (TTP:er) och bygga specifika regler inriktade på minneskörning, missbruk av LoLBins, skadlig WMI eller smygande datautvinningsmönster.

Utöver kontinuerlig övervakning inkluderar dessa tjänster vanligtvis forensisk analys, incidenthantering och konsultation för att förbättra säkerhetsarkitekturen, täppa till återkommande luckor och stärka kontrollerna på slutpunkter och servrar.

För många företag är outsourcing av en del av denna funktion det mest gångbara sättet att hålla jämna steg med sådana komplexa hot, eftersom inte alla har råd med ett internt team som specialiserar sig på att jaga avancerad skadlig kod.

Verkligheten är att fillös skadlig kod för alltid har förändrat hur vi förstår endpoint-säkerhet: Filer är inte längre den enda viktiga indikatornOch bara en kombination av djupgående insyn, beteendeanalys, goda ledningsmetoder och en utökad cybersäkerhetskultur kan hålla den i schack i det dagliga arbetet.