Identifikacija datoteka bez datoteka: kompletan vodič za otkrivanje i zaustavljanje zlonamjernog softvera u memoriji

Napadi koji se izvršavaju bez ostavljanja traga na disku postali su velika glavobolja za mnoge sigurnosne timove jer se u potpunosti izvršavaju u memoriji i iskorištavaju legitimne sistemske procese. Stoga je važno znati... Kako prepoznati datoteke bez datoteka i brane se od njih.

Pored naslova i trendova, razumijevanje kako oni funkcionišu, zašto su tako neuhvatljivi i koji nam znakovi omogućavaju da ih otkrijemo čini razliku između suzbijanja incidenta i žaljenja zbog kršenja. U sljedećim redovima analiziramo problem i predlažemo rješenja.

Šta je zlonamjerni softver bez datoteka i zašto je važan?

 

Zlonamjerni softver bez datoteka nije specifična porodica, već način rada: Izbjegavajte pisanje izvršnih datoteka na disk Koristi servise i binarne datoteke koje su već prisutne u sistemu za izvršavanje zlonamjernog koda. Umjesto da ostavi lako skeniranu datoteku, napadač zloupotrebljava pouzdane uslužne programe i učitava njihovu logiku direktno u RAM.

Ovaj pristup je često obuhvaćen filozofijom "Život od zemlje": napadači instrumentaliziraju izvorni alati kao što su PowerShell, WMI, mshta, rundll32 ili skriptne mehanizme poput VBScript i JScript kako bi postigli svoje ciljeve uz minimalnu buku.

Među njegovim najreprezentativnijim karakteristikama nalazimo: izvršavanje u nestabilnoj memoriji, mala ili nikakva perzistencija na disku, korištenje sistemski potpisanih komponenti i visok kapacitet izbjegavanja protiv mehanizama zasnovanih na potpisima.

Iako mnogi korisni tereti nestaju nakon ponovnog pokretanja, nemojte se zavaravati: protivnici mogu uspostaviti upornost korištenjem ključeva registra, WMI pretplata ili planiranih zadataka, a sve to bez ostavljanja sumnjivih binarnih datoteka na disku.

Zašto nam je tako teško identificirati datoteke bez datoteka?

Prva prepreka je očigledna: Nema anomalnih datoteka za pregledTradicionalni antivirusni programi zasnovani na potpisima i analizi datoteka imaju malo prostora za manevrisanje kada se izvršavanje nalazi u validnim procesima, a zlonamjerna logika u memoriji.

Drugi je suptilniji: napadači se kamufliraju iza legitimni procesi operativnog sistemaAko se PowerShell ili WMI koriste svakodnevno za administraciju, kako možete razlikovati normalnu upotrebu od zlonamjerne upotrebe bez konteksta i telemetrije ponašanja?

Nadalje, slijepo blokiranje kritičnih alata nije izvodljivo. Onemogućavanje PowerShell ili Office makroa na svim područjima može prekinuti rad i Ne sprečava u potpunosti zloupotrebejer postoji više alternativnih putanja izvršavanja i tehnika za zaobilaženje jednostavnih blokova.

Povrh svega, detekcija u oblaku ili na strani servera je prekasna da bi se spriječili problemi. Bez lokalne vidljivosti problema u realnom vremenu... komandne linije, odnosi procesa i događaji u dnevnikuAgent ne može trenutno ublažiti zlonamjerni tok koji ne ostavlja trag na disku.

Kako napad bez datoteka funkcioniše od početka do kraja

Početni pristup se obično odvija s istim vektorima kao i uvijek: phishing s Office dokumentima koji traže omogućavanje aktivnog sadržaja, linkova ka kompromitovanim stranicama, iskorištavanja ranjivosti u izloženim aplikacijama ili zloupotrebe procurjelih akreditiva za pristup putem RDP-a ili drugih usluga.

Jednom kada je unutra, protivnik nastoji izvršiti udarac bez dodirivanja diska. Da bi to uradio, povezuje sistemske funkcionalnosti: makroi ili DDE u dokumentima koje pokreću naredbe, iskorištavaju prekoračenja za RCE ili pozivaju pouzdane binarne datoteke koje omogućavaju učitavanje i izvršavanje koda u memoriji.

Ako operacija zahtijeva kontinuitet, perzistencija se može implementirati bez implementacije novih izvršnih datoteka: unosi za pokretanje u registruWMI pretplate koje reaguju na sistemske događaje ili zakazane zadatke koji pokreću skripte pod određenim uslovima.

Nakon što je izvršenje utvrđeno, cilj diktira sljedeće korake: kretanje lateralno, izvući podatkeTo uključuje krađu akreditiva, postavljanje RAT-a, rudarenje kriptovaluta ili aktiviranje enkripcije datoteka u slučaju ransomwarea. Sve se ovo radi, kada je to moguće, korištenjem postojećih funkcionalnosti.

Uklanjanje dokaza je dio plana: time što ne piše sumnjive binarne datoteke, napadač značajno smanjuje broj artefakata koji se analiziraju. miješanje njihove aktivnosti između normalnih događaja sistema i brisanje privremenih tragova kada je to moguće.

Tehnike i alati koje obično koriste

Katalog je opsežan, ali se gotovo uvijek vrti oko izvornih programa i pouzdanih ruta. Ovo su neki od najčešćih, uvijek s ciljem maksimiziraj izvršavanje u memoriji i zamagli trag:

• PowerShellMoćno skriptiranje, pristup Windows API-jima i automatizacija. Njegova svestranost čini ga omiljenim i za administraciju i za ofanzivnu zloupotrebu.
• WMI (Windows Management Instrumentation)Omogućava vam da postavljate upite i reagujete na sistemske događaje, kao i da izvršavate udaljene i lokalne akcije; korisno za upornost i orkestracija.
• VBScript i JScript: mehanizmi prisutni u mnogim okruženjima koji olakšavaju izvršavanje logike putem sistemskih komponenti.
• mshta, rundll32 i druge pouzdane binarne datotekedobro poznati LoLBins koji, kada su pravilno povezani, mogu izvršavanje koda bez gubitka artefakata očigledno na disku.
• Dokumenti s aktivnim sadržajemMakroi ili DDE u Officeu, kao i PDF čitači s naprednim funkcijama, mogu poslužiti kao odskočna daska za pokretanje naredbi u memoriji.
• Windows registar: ključevi za samostalno pokretanje ili šifrirano/skriveno skladištenje korisnih podataka koje aktiviraju sistemske komponente.
• Zapljena i ubrizgavanje u procese: modifikacija memorijskog prostora pokrenutih procesa za zlonamjerna logika domaćina unutar legitimnog izvršnog fajla.
• Operativni setovi: otkrivanje ranjivosti u sistemu žrtve i primjena prilagođenih eksploita kako bi se postiglo izvršenje bez dodirivanja diska.

Izazov za kompanije (i zašto jednostavno blokiranje svega nije dovoljno)

Naivan pristup predlaže drastičnu mjeru: blokiranje PowerShella, zabranu makroa, sprečavanje binarnih datoteka poput rundll32. Stvarnost je nijansiranija: Mnogi od ovih alata su neophodni. za svakodnevne IT operacije i za administrativnu automatizaciju.

Osim toga, napadači traže rupe u zakonu: pokretanje skriptnog mehanizma na druge načine, koristite alternativne kopijeMožete logiku pakirati u slike ili pribjeći manje nadziranim LoLBins-ovima. Grubo blokiranje u konačnici stvara trenje bez pružanja potpune odbrane.

Čisto serverska ili cloud analiza također ne rješava problem. Bez bogate telemetrije krajnjih tačaka i bez... odzivnost samog agentaOdluka dolazi kasno i prevencija nije izvodljiva jer moramo čekati vanjski sud.

U međuvremenu, izvještaji s tržišta već dugo ukazuju na vrlo značajan rast u ovom području, s vrhuncima gdje je Pokušaji zloupotrebe PowerShella su se skoro udvostručili u kratkim periodima, što potvrđuje da je to ponavljajuća i profitabilna taktika za protivnike.

Moderna detekcija: od datoteke do ponašanja

Ključ nije ko izvršava, već kako i zašto. Praćenje ponašanje procesa i njegovi odnosi Odlučujuće je: komandna linija, nasljeđivanje procesa, osjetljivi API pozivi, odlazne veze, izmjene registra i WMI događaji.

Ovaj pristup drastično smanjuje površinu izbjegavanja: čak i ako se binarne datoteke koje su uključene promijene, obrasci napada se ponavljaju (skripte koje se preuzimaju i izvršavaju u memoriji, zloupotreba LoLBins-ova, pozivanje interpretera, itd.). Analiziranje te skripte, a ne 'identiteta' datoteke, poboljšava detekciju.

Efikasne EDR/XDR platforme koreliraju signale kako bi rekonstruisale kompletnu istoriju incidenata, identifikujući izvorni razlog Umjesto okrivljavanja procesa koji se 'pojavio', ova naracija povezuje priloge, makroe, interpretere, korisne podatke i perzistenciju kako bi ublažila cijeli tok, a ne samo izolovani dio.

Primjena okvira kao što su MITER ATT&CK Pomaže u mapiranju uočenih taktika i tehnika (TTP) i usmjerava lov na prijetnje prema ponašanjima od interesa: izvršenje, upornost, izbjegavanje odbrane, pristup akreditivima, otkrivanje, lateralno kretanje i izvlačenje.

Konačno, orkestracija odgovora krajnje tačke mora biti trenutna: izolovati uređaj, završni procesi uključeni, poništiti promjene u registru ili planeru zadataka i blokirati sumnjive odlazne veze bez čekanja na vanjske potvrde.

Korisna telemetrija: na šta treba obratiti pažnju i kako odrediti prioritete

Da bi se povećala vjerovatnoća detekcije bez zasićenja sistema, preporučljivo je dati prioritet signalima visoke vrijednosti. Neki izvori i kontrole pružaju kontekst. kritično za bezfiletno To su:

• Detaljan PowerShell zapisnik i drugi interpreteri: dnevnik blokova skripti, historija komandi, učitani moduli i AMSI događaji, kada su dostupni.
• WMI repozitorijInventar i upozorenja u vezi s kreiranjem ili modifikacijom filtera događaja, potrošača i linkova, posebno u osjetljivim imenskim prostorima.
• Sigurnosni događaji i Sysmonkorelacija procesa, integritet slike, učitavanje memorije, ubrizgavanje i kreiranje planiranih zadataka.
• Redanomalne odlazne veze, beacoing, obrasci preuzimanja korisnog tereta i korištenje tajnih kanala za eksfiltraciju.

Automatizacija pomaže u odvajanju žita od kukolja: pravila detekcije zasnovana na ponašanju, liste dozvoljenih za legitimna administracija a obogaćivanje obavještajnim podacima o prijetnjama ograničava lažno pozitivne rezultate i ubrzava odgovor.

Sprečavanje i smanjenje površine

Nijedna pojedinačna mjera nije dovoljna, ali slojevita odbrana uveliko smanjuje rizik. Sa preventivne strane, ističe se nekoliko linija djelovanja. izrezati vektore i otežati život protivniku:

• Upravljanje makroima: onemogućeno prema zadanim postavkama i dozvoljeno samo kada je apsolutno neophodno i potpisano; detaljne kontrole putem grupnih politika.
• Ograničenje interpretatora i LoLBins-ovaPrimjena AppLocker/WDAC ili ekvivalenta, kontrola skripti i predložaka izvršavanja sa sveobuhvatnim evidentiranjem.
• Zakrpe i ublažavanjaZatvorite ranjivosti koje se mogu iskoristiti i aktivirajte zaštite memorije koje ograničavaju RCE i injekcije.
• Jaka autentifikacijaPrincipi višestruke finansijske pomoći (MFA) i nultog povjerenja za suzbijanje zloupotrebe akreditiva i smanjiti lateralno kretanje.
• Svijest i simulacijePraktična obuka o phishingu, dokumentima s aktivnim sadržajem i signalima anomalnog izvršenja.

Ove mjere su dopunjene rješenjima koja analiziraju promet i memoriju kako bi identificirala zlonamjerno ponašanje u stvarnom vremenu, kao i politike segmentacije i minimalne privilegije za ograničavanje uticaja kada nešto promakne.

Usluge i pristupi koji funkcionišu

U okruženjima s mnogo krajnjih tačaka i visokom kritičnošću, usluge upravljanog otkrivanja i odgovora sa 24/7 praćenje Dokazano je da ubrzavaju suzbijanje incidenata. Kombinacija SOC-a, EMDR/MDR-a i EDR/XDR-a pruža stručno oko, bogatu telemetriju i koordinirane mogućnosti odgovora.

Najefikasniji pružatelji usluga internalizirali su prelazak na ponašanje: lagani agenti koji koreliraju aktivnost na nivou jezgraOni rekonstruišu kompletnu istoriju napada i primjenjuju automatska ublažavanja kada otkriju zlonamjerne lance, s mogućnošću vraćanja na prethodno stanje kako bi se poništile promjene.

Paralelno s tim, paketi za zaštitu krajnjih tačaka i XDR platforme integrišu centralizovanu vidljivost i upravljanje prijetnjama na radnim stanicama, serverima, identitetima, e-pošti i oblaku; cilj je demontirati lanac napada bez obzira na to da li su datoteke uključene ili ne.

Praktični indikatori za lov na prijetnje

Ako morate odrediti prioritete hipoteza pretrage, fokusirajte se na kombinovanje signala: kancelarijski proces koji pokreće interpreter sa neobičnim parametrima, Kreiranje WMI pretplate Nakon otvaranja dokumenta, modifikacije ključeva za pokretanje, nakon čega slijede veze s domenama s lošom reputacijom.

Drugi efikasan pristup je oslanjanje na osnovne vrijednosti iz vašeg okruženja: šta je normalno na vašim serverima i radnim stanicama? Bilo kakva odstupanja (novo potpisane binarne datoteke koje se pojavljuju kao roditelji interpretera, iznenadni skokovi u performansama (skripti, komandnih nizova sa obfuskacijom) zaslužuje istraživanje.

Konačno, ne zaboravite memoriju: ako imate alate koji pregledavaju pokrenute regije ili hvataju snimke, nalazi u RAM-u Oni mogu biti definitivan dokaz aktivnosti bez datoteka, posebno kada nema artefakata u datotečnom sistemu.

Kombinacija ovih taktika, tehnika i kontrola ne eliminiše prijetnju, ali vas stavlja u bolju poziciju da je otkrijete na vrijeme. presjeći lanac i smanjiti uticaj.

Kada se sve ovo primijeni mudro - telemetrija bogata krajnjim tačkama, korelacija ponašanja, automatizirani odgovor i selektivno ojačavanje - taktika bez datoteka gubi mnogo od svoje prednosti. I, iako će se nastaviti razvijati, fokus na ponašanjima Umjesto da se čuva u datotekama, nudi solidnu osnovu za razvoj vaše odbrane.