Identifikation af filløse filer: en komplet guide til at opdage og stoppe malware i hukommelsen

Angreb, der udføres uden at efterlade spor på disken, er blevet en stor hovedpine for mange sikkerhedsteams, fordi de udelukkende udføres i hukommelsen og udnytter legitime systemprocesser. Derfor er det vigtigt at vide hvordan man identificerer filløse filer og forsvare sig mod dem.

Ud over overskrifter og tendenser er det afgørende at forstå, hvordan de fungerer, hvorfor de er så flygtige, og hvilke tegn der gør det muligt for os at opdage dem, om man skal inddæmme en hændelse eller fortryde et brud. I de følgende linjer analyserer vi problemet og foreslår. løsninger.

Hvad er filløs malware, og hvorfor er det vigtigt?

 

Filløs malware er ikke en specifik familie, men snarere en måde at operere på: Undgå at skrive eksekverbare filer til disken Den bruger tjenester og binære filer, der allerede er til stede i systemet, til at udføre skadelig kode. I stedet for at efterlade en let scannelig fil, misbruger angriberen betroede værktøjer og indlæser dens logik direkte i RAM.

Denne tilgang er ofte omfattet af filosofien om at 'leve af jorden': angribere instrumentaliserer native værktøjer som PowerShell, WMI, mshta, rundll32 eller scripting-programmer som VBScript og JScript for at nå deres mål med minimal støj.

Blandt dens mest repræsentative træk finder vi: udførelse i flygtig hukommelse, lille eller ingen persistens på disken, brug af systemsignerede komponenter og høj undvigelseskapacitet mod signaturbaserede motorer.

Selvom mange nyttelaster forsvinder efter en genstart, så lad dig ikke narre: modstandere kan etablere vedholdenhed ved at udnytte registreringsdatabasenøgler, WMI-abonnementer eller planlagte opgaver, alt sammen uden at efterlade mistænkelige binære filer på disken.

Hvorfor har vi så svært ved at identificere filløse filer?

Den første barriere er tydelig: Der er ingen unormale filer at inspicereTraditionelle antivirusprogrammer baseret på signaturer og filanalyse har begrænset manøvrerum, når udførelsen foregår i gyldige processer, og ondsindet logik findes i hukommelsen.

Den anden er mere subtil: angriberne camouflerer sig bag legitime operativsystemprocesserHvis PowerShell eller WMI bruges dagligt til administration, hvordan kan man så skelne mellem normal brug og ondsindet brug uden kontekst- og adfærdstelemetri?

Derudover er det ikke muligt blindt at blokere kritiske værktøjer. Deaktivering af PowerShell- eller Office-makroer på tværs af linjen kan afbryde driften og Det forhindrer ikke fuldstændigt misbrugfordi der findes flere alternative udførelsesstier og teknikker til at omgå simple blokke.

Og oven i købet er cloudbaseret eller serversidedetektering for sent til at forhindre problemer. Uden lokal indsigt i problemet i realtid... kommandolinjer, procesrelationer og loghændelserAgenten kan ikke afbøde et ondsindet flow, der ikke efterlader spor på disken, undervejs.

Sådan fungerer et filløst angreb fra start til slut

Indledende adgang sker normalt med de samme vektorer som altid: phishing med Office-dokumenter der beder om at aktivere aktivt indhold, links til kompromitterede websteder, udnyttelse af sårbarheder i eksponerede applikationer eller misbrug af lækkede legitimationsoplysninger for at få adgang via RDP eller andre tjenester.

Når modstanderen er inde, forsøger han at udføre en eksekveret handling uden at røre disken. For at gøre dette, kæder de systemfunktioner sammen: makroer eller DDE i dokumenter der starter kommandoer, udnytter overflows til RCE eller kalder betroede binære filer, der tillader indlæsning og udførelse af kode i hukommelsen.

Hvis operationen kræver kontinuitet, kan persistens implementeres uden at implementere nye eksekverbare filer: opstartsposter i registreringsdatabasenWMI-abonnementer, der reagerer på systemhændelser eller planlagte opgaver, der udløser scripts under bestemte betingelser.

Når udførelsen er etableret, dikterer målet følgende trin: bevæg dig lateralt, eksfiltrer dataDette inkluderer at stjæle legitimationsoplysninger, implementere en RAT, mining af kryptovalutaer eller aktivere filkryptering i tilfælde af ransomware. Alt dette gøres, når det er muligt, ved at udnytte eksisterende funktionaliteter.

Fjernelse af bevismateriale er en del af planen: ved ikke at skrive mistænkelige binære filer reducerer angriberen betydeligt antallet af artefakter, der skal analyseres. blande deres aktivitet mellem normale begivenheder af systemet og sletning af midlertidige spor, når det er muligt.

Teknikker og værktøjer, som de normalt bruger

Kataloget er omfattende, men det drejer sig næsten altid om lokale forsyningsvirksomheder og pålidelige ruter. Disse er nogle af de mest almindelige, altid med det formål at maksimer udførelse i hukommelsen og slør sporet:

• PowerShellKraftfuld scripting, adgang til Windows API'er og automatisering. Dens alsidighed gør den til en favorit til både administration og stødende misbrug.
• WMI (Windows Management Instrumentation)Det giver dig mulighed for at forespørge på og reagere på systemhændelser, samt udføre eksterne og lokale handlinger; nyttigt til vedholdenhed og orkestrering.
• VBScript og JScript: motorer, der findes i mange miljøer, og som letter udførelsen af ​​logik gennem systemkomponenter.
• mshta, rundll32 og andre betroede binære filer: de velkendte LoLBins, som, når de er korrekt forbundet, kan udfør kode uden at droppe artefakter tydeligt på disken.
• Dokumenter med aktivt indholdMakroer eller DDE i Office, såvel som PDF-læsere med avancerede funktioner, kan fungere som et springbræt til at starte kommandoer i hukommelsen.
• Windows-registerSelvstartsnøgler eller krypteret/skjult lagring af nyttelast, der aktiveres af systemkomponenter.
• Beslaglæggelse og injektion i processer: ændring af hukommelsespladsen for kørende processer for vært for ondsindet logik i en legitim eksekverbar fil.
• DriftssætDetektion af sårbarheder i offerets system og implementering af skræddersyede angreb for at opnå udførelse uden at røre disken.

Udfordringen for virksomheder (og hvorfor det ikke er nok blot at blokere alt)

En naiv tilgang foreslår en drastisk foranstaltning: blokering af PowerShell, forbud mod makroer, forhindring af binære filer som rundll32. Virkeligheden er mere nuanceret: Mange af disse værktøjer er essentielle. til daglig IT-drift og administrativ automatisering.

Derudover leder angribere efter smuthuller: de kører scripting-motoren på andre måder, brug alternative kopierDu kan pakke logik ind i billeder eller ty til mindre overvågede LoLBins. Brute blocking skaber i sidste ende friktion uden at give et fuldstændigt forsvar.

Rent serverbaseret eller cloudbaseret analyse løser heller ikke problemet. Uden omfattende endpoint-telemetri og uden responsivitet hos selve agentenBeslutningen kommer sent, og forebyggelse er ikke mulig, fordi vi er nødt til at vente på en ekstern dom.

I mellemtiden har markedsrapporter længe peget på en meget betydelig vækst på dette område, med toppe hvor Forsøg på at misbruge PowerShell næsten fordoblet i korte perioder, hvilket bekræfter, at det er en tilbagevendende og profitabel taktik for modstandere.

Moderne detektion: fra fil til adfærd

Nøglen er ikke hvem der udfører, men hvordan og hvorfor. Overvågning af procesadfærd og dens relationer Det er afgørende: kommandolinje, procesarv, følsomme API-kald, udgående forbindelser, ændringer i registreringsdatabasen og WMI-hændelser.

Denne tilgang reducerer undvigelsesoverfladen drastisk: selvom de involverede binære filer ændrer sig, angrebsmønstre gentages (scripts der downloader og udføres i hukommelsen, misbrug af LoLBins, kald af fortolkere osv.). Analyse af scriptet, ikke filens 'identitet', forbedrer detektionen.

Effektive EDR/XDR-platforme korrelerer signaler for at rekonstruere den komplette hændelseshistorik og identificere hovedårsagen I stedet for at give den proces, der "dukkede op", skylden, forbinder denne fortælling vedhæftede filer, makroer, fortolkere, nyttelast og persistens for at afbøde hele flowet, ikke blot en isoleret del.

Anvendelsen af ​​rammer som f.eks. GERING ATT&CK Det hjælper med at kortlægge observerede taktikker og teknikker (TTP'er) og guide trusselsjagt mod adfærd af interesse: udførelse, vedholdenhed, forsvarsunddragelse, adgang til legitimationsoplysninger, opdagelse, lateral bevægelse og eksfiltrering.

Endelig skal endpoint-responsorkestreringen være øjeblikkelig: isoler enheden, slutprocesser involverede, tilbageføre ændringer i registreringsdatabasen eller opgaveplanlæggeren og blokere mistænkelige udgående forbindelser uden at vente på eksterne bekræftelser.

Nyttig telemetri: Hvad skal man se på, og hvordan skal man prioritere

For at øge sandsynligheden for detektion uden at overbelaste systemet, anbefales det at prioritere signaler med høj værdi. Nogle kilder og kontroller, der giver kontekst. kritisk for filløse lyd:

• Detaljeret PowerShell-log og andre fortolkere: scriptbloklog, kommandohistorik, indlæste moduler og AMSI-hændelser, når de er tilgængelige.
• WMI-arkivOpgørelse og alarm vedrørende oprettelse eller ændring af hændelsesfiltre, forbrugere og links, især i følsomme navneområder.
• Sikkerhedshændelser og SysmonProceskorrelation, billedintegritet, hukommelsesindlæsning, injektion og oprettelse af planlagte opgaver.
• Rød: anomale udgående forbindelser, beaconing, downloadmønstre for nyttelast og brug af skjulte kanaler til eksfiltrering.

Automatisering hjælper med at skille bukkene fra hveden: adfærdsbaserede detektionsregler, tilladelseslister til legitim administration og berigelse med trusselsefterretninger begrænser falske positiver og fremskynder reaktionen.

Forebyggelse og reduktion af overfladevand

Ingen enkeltstående foranstaltning er tilstrækkelig, men et lagdelt forsvar reducerer risikoen betydeligt. På den forebyggende side er der flere handlingslinjer, der skiller sig ud. afgrødevektorer og gøre livet vanskeligere for modstanderen:

• Makrostyring: deaktiver som standard og tillad kun når det er absolut nødvendigt og underskrevet; detaljerede kontroller via gruppepolitikker.
• Begrænsning af tolke og LoLBinsAnvend AppLocker/WDAC eller tilsvarende, kontrol over scripts og udførelsesskabeloner med omfattende logføring.
• Programrettelser og afhjælpningluk udnyttelige sårbarheder og aktiver hukommelsesbeskyttelse, der begrænser RCE og injektioner.
• Stærk autentificeringMFA og nultrustprincipper for at bekæmpe misbrug af legitimationsoplysninger og reducere lateral bevægelse.
• Bevidsthed og simuleringerPraktisk træning i phishing, dokumenter med aktivt indhold og tegn på unormal udførelse.

Disse tiltag suppleres af løsninger, der analyserer trafik og hukommelse for at identificere ondsindet adfærd i realtid, samt segmenteringspolitikker og minimale privilegier for at begrænse virkningen, når noget slipper igennem.

Tjenester og tilgange, der virker

I miljøer med mange slutpunkter og høj kritikalitet, administrerede detektions- og responstjenester med 24/7 overvågning De har vist sig at fremskynde inddæmning af hændelser. Kombinationen af ​​SOC, EMDR/MDR og EDR/XDR giver ekspertise, omfattende telemetri og koordinerede responskapaciteter.

De mest effektive udbydere har internaliseret skiftet til adfærd: letvægtsagenter, der korreler aktivitet på kerneniveauDe rekonstruerer komplette angrebshistorikker og anvender automatiske afhjælpningsforanstaltninger, når de registrerer ondsindede kæder, med rollback-funktion til at fortryde ændringer.

Parallelt integrerer endpoint-beskyttelsespakker og XDR-platforme centraliseret synlighed og trusselsstyring på tværs af arbejdsstationer, servere, identiteter, e-mail og skyen; målet er at afvikle angrebskæden uanset om filer er involveret eller ej.

Praktiske indikatorer for trusselsjagt

Hvis du skal prioritere søgehypoteser, så fokuser på at kombinere signaler: en Office-proces, der starter en fortolker med usædvanlige parametre, Oprettelse af WMI-abonnement Efter åbning af et dokument, ændringer af opstartsnøgler efterfulgt af forbindelser til domæner med dårligt omdømme.

En anden effektiv tilgang er at stole på baselines fra dit miljø: hvad er normalt på dine servere og arbejdsstationer? Enhver afvigelse (nyligt signerede binære filer, der vises som forældre til fortolkere, pludselige stigninger i præstationen (af scripts, kommandostrenge med sløring) fortjener undersøgelse.

Glem endelig ikke hukommelsen: hvis du har værktøjer, der inspicerer kørende områder eller tager snapshots, resultaterne i RAM De kan være det definitive bevis på filløs aktivitet, især når der ikke er artefakter i filsystemet.

Kombinationen af ​​disse taktikker, teknikker og kontroller eliminerer ikke truslen, men det sætter dig bedre i stand til at opdage den i tide. skær kæden over og mindske virkningen.

Når alt dette anvendes med omtanke – endpoint-rig telemetri, adfærdskorrelation, automatiseret respons og selektiv hærdning – mister den filløse taktik meget af sin fordel. Og selvom den vil fortsætte med at udvikle sig, fokus på adfærd I stedet for i filer tilbyder det et solidt fundament for dit forsvar, så det kan udvikle sig med det.