Identifisering van lêerlose lêers: 'n volledige gids vir die opsporing en stop van wanware in die geheue

Aanvalle wat sonder om 'n spoor op die skyf te laat plaasvind, het 'n groot hoofpyn vir baie sekuriteitspanne geword, omdat hulle geheel en al in die geheue uitgevoer word en wettige stelselprosesse uitbuit. Vandaar die belangrikheid om te weet hoe om lêerlose lêers te identifiseer en hulself teen hulle verdedig.

Benewens opskrifte en tendense, maak die begrip van hoe hulle werk, waarom hulle so ontwykend is, en watter tekens ons toelaat om hulle op te spoor die verskil tussen die beheer van 'n voorval en die spyt van 'n oortreding. In die volgende reëls analiseer ons die probleem en stel voor: oplossings.

Wat is lêerlose wanware en hoekom maak dit saak?

 

Lêerlose wanware is nie 'n spesifieke familie nie, maar eerder 'n manier van werk: Vermy die skryf van uitvoerbare lêers na skyf Dit gebruik dienste en binêre lêers wat reeds in die stelsel teenwoordig is om kwaadwillige kode uit te voer. In plaas daarvan om 'n maklik skandeerbare lêer te laat, misbruik die aanvaller vertroude nutsdienste en laai die logika direk in die RAM.

Hierdie benadering word dikwels ingesluit in die 'Lewe van die Land'-filosofie: aanvallers instrumentaliseer inheemse gereedskap soos PowerShell, WMI, mshta, rundll32 of skriptenjins soos VBScript en JScript om hul doelwitte met minimale geraas te bereik.

Onder die mees verteenwoordigende kenmerke vind ons: uitvoering in vlugtige geheue, min of geen persistensie op skyf, gebruik van stelsel-getekende komponente en hoë ontduikingskapasiteit teen handtekening-gebaseerde enjins.

Alhoewel baie vragte na 'n herlaai verdwyn, moenie mislei word nie: teenstanders kan volharding vestig deur registersleutels, WMI-intekeninge of geskeduleerde take te gebruik, alles sonder om verdagte binêre lêers op die skyf te laat.

Waarom vind ons dit so moeilik om lêerlose lêers te identifiseer?

Die eerste hindernis is voor die hand liggend: Daar is geen anomale lêers om te inspekteer nieTradisionele antivirusprogramme gebaseer op handtekeninge en lêeranalise het min beweegruimte wanneer uitvoering in geldige prosesse geleë is en kwaadwillige logika in die geheue.

Die tweede is meer subtiel: die aanvallers kamoefleer hulself agter wettige bedryfstelselprosesseAs PowerShell of WMI daagliks vir administrasie gebruik word, hoe kan jy normale gebruik onderskei van kwaadwillige gebruik sonder konteks en gedragstelemetrie?

Verder is dit nie haalbaar om kritieke gereedskap blindelings te blokkeer nie. Die deaktivering van PowerShell- of Office-makro's oor die algemeen kan bedrywighede onderbreek en Dit verhoed nie misbruik heeltemal nieomdat daar verskeie alternatiewe uitvoeringspaaie en tegnieke is om eenvoudige blokke te omseil.

Boonop is wolkgebaseerde of bedienerkant-opsporing te laat om probleme te voorkom. Sonder intydse plaaslike sigbaarheid van die probleem... opdragreëls, prosesverwantskappe en logboekgebeurtenisseDie agent kan nie 'n kwaadwillige vloei wat geen spoor op die skyf laat, onmiddellik verminder nie.

Hoe 'n lêerlose aanval van begin tot einde werk

Aanvanklike toegang vind gewoonlik met dieselfde vektore as altyd plaas: phishing met kantoordokumente wat vra om aktiewe inhoud, skakels na gekompromitteerde webwerwe, uitbuiting van kwesbaarhede in blootgestelde toepassings, of misbruik van gelekte geloofsbriewe om toegang via RDP of ander dienste te verkry, te aktiveer.

Sodra die teenstander binne is, probeer hy om uit te voer sonder om aan die skyf te raak. Om dit te doen, skakel hulle die stelselfunksionaliteite aanmekaar: makro's of DDE in dokumente wat bevele loods, oorloop vir RCE benut, of vertroude binêre lêers aanroep wat die laai en uitvoering van kode in die geheue toelaat.

Indien die operasie kontinuïteit vereis, kan volharding geïmplementeer word sonder om nuwe uitvoerbare lêers te ontplooi: opstartinskrywings in die registerWMI-intekeninge wat reageer op stelselgebeurtenisse of geskeduleerde take wat skripte onder sekere omstandighede aktiveer.

Met die uitvoering vasgestel, bepaal die doelwit die volgende stappe: beweeg lateraal, eksfiltreer dataDit sluit in die steel van geloofsbriewe, die ontplooiing van 'n RAT, die ontginning van kriptogeldeenhede, of die aktivering van lêerenkripsie in die geval van losprysware. Dit alles word, waar moontlik, gedoen deur bestaande funksionaliteite te benut.

Die verwydering van bewyse is deel van die plan: deur nie verdagte binêre lêers te skryf nie, verminder die aanvaller die artefakte wat geanaliseer moet word aansienlik. meng hul aktiwiteit tussen normale gebeurtenisse van die stelsel en die verwydering van tydelike spore waar moontlik.

Tegnieke en gereedskap wat hulle gewoonlik gebruik

Die katalogus is uitgebreid, maar dit draai amper altyd om inheemse nutsdienste en betroubare roetes. Hierdie is van die mees algemene, altyd met die doel om maksimeer uitvoering in die geheue en vervaag die spoor:

• PowerShellKragtige skripwerk, toegang tot Windows API's en outomatisering. Die veelsydigheid daarvan maak dit 'n gunsteling vir beide administrasie en aanstootlike misbruik.
• WMI (Windows Management Instrumentation)Dit laat jou toe om stelselgebeurtenisse te bevraagteken en daarop te reageer, asook om afstand- en plaaslike aksies uit te voer; nuttig vir volharding en orkestrering.
• VBScript en JScriptEnjins wat in baie omgewings voorkom en die uitvoering van logika deur stelselkomponente vergemaklik.
• mshta, rundll32 en ander betroubare binêre lêersdie bekende LoLBins wat, wanneer dit behoorlik gekoppel is, kan voer kode uit sonder om artefakte te laat val duidelik op die skyf.
• Dokumente met aktiewe inhoudMakro's of DDE in Office, sowel as PDF-lesers met gevorderde funksies, kan dien as 'n springplank om opdragte in die geheue te begin.
• Windows-registerselflaaisleutels of geïnkripteerde/verborge berging van vragte wat deur stelselkomponente geaktiveer word.
• Beslaglegging en inspuiting in prosessewysiging van die geheuespasie van lopende prosesse vir gasheer kwaadwillige logika binne 'n wettige uitvoerbare lêer.
• Bedryfsstelle: opsporing van kwesbaarhede in die slagoffer se stelsel en ontplooiing van pasgemaakte aanvalle om uitvoering te bereik sonder om die skyf aan te raak.

Die uitdaging vir maatskappye (en hoekom dit nie genoeg is om bloot alles te blokkeer nie)

'n Naïewe benadering dui op 'n drastiese maatreël: PowerShell blokkeer, makro's verbied, binêre lêers soos rundll32 voorkom. Die werklikheid is meer genuanceerd: Baie van hierdie gereedskap is noodsaaklik. vir daaglikse IT-bedrywighede en vir administratiewe outomatisering.

Daarbenewens soek aanvallers na skuiwergate: die skrip-enjin op ander maniere laat loop, gebruik alternatiewe kopieëJy kan logika in beelde verpak of minder gemonitorde LoLBins gebruik. Brute blokkering skep uiteindelik wrywing sonder om 'n volledige verdediging te bied.

Suiwer bedienerkant- of wolkgebaseerde analise los ook nie die probleem op nie. Sonder ryk eindpunt-telemetrie en sonder responsiwiteit in die agent selfDie besluit kom laat en voorkoming is nie haalbaar nie, want ons moet wag vir 'n eksterne uitspraak.

Intussen het markverslae lank reeds gewys op 'n baie beduidende groei in hierdie gebied, met pieke waar die Pogings om PowerShell te misbruik het byna verdubbel in kort tydperke, wat bevestig dat dit 'n herhalende en winsgewende taktiek vir teenstanders is.

Moderne opsporing: van lêer tot gedrag

Die sleutel is nie wie dit uitvoer nie, maar hoe en hoekom. Monitering van die prosesgedrag en die verwantskappe daarvan Dit is deurslaggewend: opdragreël, proses-oorerwing, sensitiewe API-oproepe, uitgaande verbindings, registerwysigings en WMI-gebeurtenisse.

Hierdie benadering verminder die ontduikingsoppervlak drasties: selfs al verander die betrokke binêre lêers, die aanvalpatrone word herhaal (skrifte wat in die geheue aflaai en uitvoer, misbruik van LoLBins, aanroep van interpreteerders, ens.). Die ontleding van daardie skrip, nie die 'identiteit' van die lêer nie, verbeter opsporing.

Doeltreffende EDR/XDR-platforms korreleer seine om die volledige voorvalgeskiedenis te rekonstrueer en die kernoorsaak In plaas daarvan om die proses wat 'opgedaag het' te blameer, verbind hierdie narratief aanhegsels, makro's, tolke, loonvragte en volharding om die hele vloei te versag, nie net 'n geïsoleerde stuk nie.

Die toepassing van raamwerke soos MITER ATT&CK Dit help om waargenome taktieke en tegnieke (TTP's) te karteer en bedreigingsjag te lei na gedrag van belang: uitvoering, volharding, verdedigingsontduiking, toegang tot geloofsbriewe, ontdekking, laterale beweging en eksfiltrasie.

Laastens moet die eindpuntresponsorkestrering onmiddellik wees: isoleer die toestel, eindprosesse betrokke, veranderinge in die register of taakskeduleerder terugdraai en verdagte uitgaande verbindings blokkeer sonder om vir eksterne bevestigings te wag.

Nuttige telemetrie: waarna om te kyk en hoe om te prioritiseer

Om die waarskynlikheid van opsporing te verhoog sonder om die stelsel te versadig, is dit raadsaam om hoëwaarde-seine te prioritiseer. Sommige bronne en kontroles wat konteks verskaf. krities vir lêerloos klank:

• Gedetailleerde PowerShell-logboek en ander interpreteerders: skripbloklog, opdraggeskiedenis, gelaaide modules en AMSI-gebeurtenisse, indien beskikbaar.
• WMI-bewaarplekInventaris en waarskuwing rakende die skep of wysiging van gebeurtenisfilters, verbruikers en skakels, veral in sensitiewe naamruimtes.
• Sekuriteitsgebeurtenisse en Sysmonproseskorrelasie, beeldintegriteit, geheuelaai, inspuiting en skep van geskeduleerde take.
• rooiAnomale uitgaande verbindings, bakening, vrag-aflaaipatrone en gebruik van geheime kanale vir eksfiltrasie.

Outomatisering help om die kaf van die koring te skei: gedragsgebaseerde opsporingsreëls, toelaatlyste vir wettige administrasie en verryking met bedreigingsintelligensie beperk vals positiewe en versnel die reaksie.

Voorkoming en vermindering van oppervlak

Geen enkele maatreël is voldoende nie, maar 'n gelaagde verdediging verminder risiko aansienlik. Aan die voorkomende kant staan ​​verskeie aksielyne uit vir oes vektore en maak die lewe vir die teëstander moeiliker:

• Makrobestuur: deaktiveer by verstek en laat slegs toe wanneer absoluut noodsaaklik en onderteken; gedetailleerde kontroles via groepbeleide.
• Beperking van tolke en LoLBinsPas AppLocker/WDAC of ekwivalent toe, beheer van skripte en uitvoeringsjablone met omvattende logging.
• Lapwerk en versagtingsmaatreëlsMaak ontginbare kwesbaarhede toe en aktiveer geheuebeskermings wat RCE en inspuitings beperk.
• Sterk verifikasieMFA en zero trust-beginsels om geloofsbriewemisbruik te bekamp en verminder laterale beweging.
• Bewustheid en simulasiesPraktiese opleiding oor phishing, dokumente met aktiewe inhoud en tekens van anomale uitvoering.

Hierdie maatreëls word aangevul deur oplossings wat verkeer en geheue ontleed om kwaadwillige gedrag intyds te identifiseer, sowel as segmenteringsbeleide en minimale voorregte om die impak te beperk wanneer iets deurglip.

Dienste en benaderings wat werk

In omgewings met baie eindpunte en hoë kritiek, bestuurde opsporings- en reaksiedienste met 24/7 monitering Hulle het bewys dat hulle die inperking van voorvalle versnel. Die kombinasie van SOC, EMDR/MDR en EDR/XDR bied kundige oë, ryk telemetrie en gekoördineerde reaksievermoëns.

Die mees effektiewe verskaffers het die verskuiwing na gedrag geïnternaliseer: liggewig agente wat korreleer aktiwiteit op kernvlakHulle rekonstrueer volledige aanvalgeskiedenisse en pas outomatiese versagtingsmaatreëls toe wanneer hulle kwaadwillige kettings opspoor, met terugrolvermoë om veranderinge ongedaan te maak.

Parallel integreer eindpuntbeskermingspakkette en XDR-platforms gesentraliseerde sigbaarheid en bedreigingsbestuur oor werkstasies, bedieners, identiteite, e-pos en die wolk; die doel is om dit te ontmantel. die aanvalsketting ongeag of lêers betrokke is of nie.

Praktiese aanwysers vir bedreigingsjag

As jy soekhipoteses moet prioritiseer, fokus op die kombinering van seine: 'n kantoorproses wat 'n interpreteerder met ongewone parameters loods, WMI-intekeningskepping Na die oopmaak van 'n dokument, wysigings aan opstartsleutels gevolg deur verbindings na domeine met 'n swak reputasie.

Nog 'n effektiewe benadering is om op basislyne van jou omgewing staat te maak: wat is normaal op jou bedieners en werkstasies? Enige afwyking (nuut getekende binêre lêers wat as ouers van interpreteerders verskyn, skielike stygings in prestasie (van skrifte, opdragstringe met verduistering) verdien ondersoek.

Laastens, moenie geheue vergeet nie: as jy gereedskap het wat lopende streke inspekteer of kiekies vaslê, die bevindinge in RAM Hulle kan die definitiewe bewys van lêerlose aktiwiteit wees, veral wanneer daar geen artefakte in die lêerstelsel is nie.

Die kombinasie van hierdie taktieke, tegnieke en beheermaatreëls elimineer nie die bedreiging nie, maar dit plaas jou in 'n beter posisie om dit betyds op te spoor. sny die ketting en verminder die impak.

Wanneer al hierdie dinge oordeelkundig toegepas word – eindpuntryke telemetrie, gedragskorrelasie, outomatiese reaksie en selektiewe verharding – verloor die lêerlose taktiek baie van sy voordeel. En, hoewel dit sal aanhou ontwikkel, die fokus op gedrag Eerder as in lêers, bied dit 'n stewige fondament vir jou verdediging om daarmee saam te ontwikkel.