Mikä on "haittaohjelma ilman pysyviä tiedostoja" ja miten se havaitaan ilmaisilla työkaluilla

Ulkonäkö haittaohjelma ilman pysyviä tiedostoja Tämä on ollut todellinen päänsärky tietoturvatiimeille. Emme ole tekemisissä tyypillisen viruksen kanssa, jonka "saadaan" poistaessa suoritettavaa tiedostoa levyltä, vaan uhkien kanssa, jotka elävät muistissa, väärinkäyttävät laillisia järjestelmätyökaluja ja monissa tapauksissa jättävät tuskin mitään käyttökelpoista rikosteknistä jälkiä.

Tämän tyyppisestä hyökkäyksestä on tullut erityisen suosittua edistyneiden ryhmien ja kyberrikollisten keskuudessa, jotka pyrkivät kiertää perinteisiä virustorjuntaohjelmia, varastaa tietoja ja pysyä piilossa niin pitkään kuin mahdollista. Niiden toiminnan, käyttämien tekniikoiden ja niiden havaitsemisen ymmärtäminen on avainasemassa kaikille organisaatioille, jotka haluavat ottaa kyberturvallisuuden vakavasti tänä päivänä.

Mikä on tiedostoton haittaohjelma ja miksi se on niin huolestuttava?

Kun puhumme tiedostoton haittaohjelma Emme väitä, etteikö yhtäkään tavua olisi mukana, vaan että haitallinen koodi Sitä ei tallenneta levylle perinteisenä suoritettavana tiedostona. päätepisteestä. Sen sijaan se suoritetaan suoraan muistissa tai se sijaitsee vähemmän näkyvissä säilöissä, kuten rekisterissä, WMI:ssä tai ajoitetuissa tehtävissä.

Monissa tilanteissa hyökkääjä luottaa järjestelmässä jo oleviin työkaluihin – PowerShelliin, WMI:hin, skripteihin ja allekirjoitettuihin Windows-binääreihin – lataa, salaa tai suorita hyötykuormia suoraan RAM-muistiinTällä tavoin vältetään ilmeisten suoritettavien tiedostojen jättäminen, jotka allekirjoituspohjainen virustorjunta voisi havaita normaalissa tarkistuksessa.

Lisäksi osa hyökkäysketjusta voi olla "tiedostoton" ja toinen osa voi käyttää tiedostojärjestelmää, joten puhumme useammasta kuin yhdestä tiedostottomien tekniikoiden kirjo yhden haittaohjelmaperheen. Siksi ei ole olemassa yhtä, suljettua määritelmää, vaan useita luokkia riippuen siitä, kuinka paljon ne vaikuttavat koneeseen.

Haittaohjelmien pääominaisuudet ilman pysyviä tiedostoja

Näiden uhkien keskeinen ominaisuus on niiden muistikeskeinen suoritusHaitallinen koodi ladataan RAM-muistiin ja suoritetaan laillisten prosessien sisällä ilman, että kiintolevylle tarvitaan vakaata haitallista binääritiedostoa. Joissakin tapauksissa se jopa ruiskutetaan kriittisiin järjestelmäprosesseihin paremman naamioinnin takaamiseksi.

Toinen tärkeä ominaisuus on epätavanomainen pysyvyysMonet tiedostottomat kampanjat ovat täysin haihtuvia ja katoavat uudelleenkäynnistyksen jälkeen, mutta toiset onnistuvat aktivoimaan uudelleen rekisterin automaattisen käynnistyksen avaimilla, WMI-tilauksilla, ajoitetuilla tehtävillä tai BITS-komennoilla, jolloin "näkyvä" artefakti on minimaalinen ja todellinen hyötykuorma palaa muistiin joka kerta.

Tämä lähestymistapa vähentää huomattavasti tehokkuutta, allekirjoitukseen perustuva tunnistusKoska analysoitavaa suoritettavaa tiedostoa ei ole, näet usein täysin laillisen PowerShell.exe-, wscript.exe- tai mshta.exe-tiedoston, joka on käynnistetty epäilyttävillä parametreilla tai lataa hämärrettyä sisältöä.

Lopuksi monet toimijat yhdistävät tiedostottomia tekniikoita muihin haittaohjelmatyypit, kuten troijalaiset, kiristysohjelmat tai mainosohjelmat, mikä johtaa hybridikampanjoihin, jotka yhdistävät molempien maailmojen parhaat puolet (ja huonoimmat puolet): sinnikkyyden ja hiiviskelyn.

Tiedostottoman uhan tyypit niiden järjestelmän jalanjäljen mukaan

Useita turvallisuusalan valmistajia Ne luokittelevat "tiedostottomat" uhat tietokoneelle jättämänsä jäljen mukaan. Tämä taksonomia auttaa meitä ymmärtämään, mitä näemme ja miten sitä voidaan tutkia.

Tyyppi I: ei näkyvää tiedostotoimintaa

Hiilimakimmassa päässä löydämme haittaohjelmia, jotka Se ei kirjoita tiedostojärjestelmään yhtään mitäänKoodi saapuu esimerkiksi verkkopakettien kautta, jotka hyödyntävät haavoittuvuutta (kuten EternalBlue), ruiskutetaan suoraan muistiin ja sitä ylläpidetään esimerkiksi takaporttina ytimessä (DoublePulsar oli tyypillinen tapaus).

Muissa tilanteissa infektio sijaitsee BIOS-laiteohjelmisto, verkkokortit, USB-laitteet tai jopa suorittimen sisäiset alijärjestelmätTämän tyyppinen uhka voi selvitä käyttöjärjestelmän uudelleenasennuksista, levyn alustuksesta ja jopa joistakin täydellisistä uudelleenkäynnistyksistä.

Ongelmana on, että useimmat tietoturvaratkaisut He eivät tarkista laiteohjelmistoa tai mikrokoodiaJa vaikka ne tekisivätkin niin, korjaavat toimet ovat monimutkaisia. Onneksi nämä tekniikat on yleensä varattu erittäin kehittyneille toimijoille, eivätkä ne ole normi joukkohyökkäyksissä.

Tyyppi II: Tiedostojen epäsuora käyttö

Toinen ryhmä perustuu sisältää haitallista koodia levylle tallennetuissa rakenteissaMutta ei perinteisinä suoritettavina tiedostoina, vaan arkistoissa, jotka sekoittavat laillista ja haitallista tietoa, ja joita on vaikea puhdistaa vahingoittamatta järjestelmää.

Tyypillisiä esimerkkejä ovat skriptit, jotka on tallennettu WMI-arkisto, hämärretyt ketjut Rekisteriavaimet tai ajoitettuja tehtäviä, jotka käynnistävät vaarallisia komentoja ilman selkeää haitallista binääritiedostoa. Haittaohjelmat voivat asentaa nämä merkinnät suoraan komentoriviltä tai komentosarjalla ja pysyä sitten käytännössä näkymättöminä.

Vaikka teknisesti ottaen kyseessä on tiedostoja (fyysinen tiedosto, johon Windows tallentaa WMI-arkiston tai rekisterirakenteen), käytännössä puhumme tiedostoton toiminta koska ei ole olemassa ilmeistä suoritettavaa tiedostoa, joka voitaisiin yksinkertaisesti eristää.

Tyyppi III: Vaatii toimiakseen tiedostoja

Kolmanteen tyyppiin kuuluvat uhkat, jotka Ne käyttävät tiedostoja, mutta tavalla, joka ei ole kovin hyödyllinen havaitsemisen kannalta.Tunnettu esimerkki on Kovter, joka rekisteröi satunnaisia ​​tiedostopäätteitä rekisteriin siten, että kun kyseisellä tiedostopäätteellä varustettu tiedosto avataan, komentosarja suoritetaan mshta.exe-tiedoston tai vastaavan natiivin binääritiedoston kautta.

Nämä houkutustiedostot sisältävät epäolennaista tietoa ja oikean haitallisen koodin Se noudetaan muista rekisteriavaimista tai sisäisissä arkistoissa. Vaikka levyllä on "jotain", sitä ei ole helppo käyttää luotettavana tietomurron indikaattorina, saati sitten suorana puhdistusmekanismina.

Yleisimmät sisäänpääsyvektorit ja tartuntakohdat

Jalanjälkiluokittelun lisäksi on tärkeää ymmärtää, miten Tässä kohtaa pysyvästi tiedostoja vailla olevat haittaohjelmat tulevat kuvaan. Arkielämässä hyökkääjät yhdistävät usein useita vektoreita ympäristöstä ja kohteesta riippuen.

Hyökkäykset ja haavoittuvuudet

Yksi suorimmista tavoista on väärinkäyttö etäkoodin suorittamisen (RCE) haavoittuvuudet selaimissa, laajennuksissa (kuten Flashissa ennen), verkkosovelluksissa tai verkkopalveluissa (SMB, RDP jne.). Hyökkäysohjelma ruiskuttaa komentotulkkikoodia, joka lataa tai dekoodaa haitallisen hyötysisällön suoraan muistiin.

Tässä mallissa alkuperäinen tiedosto voi olla verkossa (exploits-tyyppi WannaCrytai käyttäjän avaamassa asiakirjassa, mutta Hyötytiedostoa ei koskaan kirjoiteta levylle suoritettavana tiedostona: se salataan ja suoritetaan lennossa RAM-muistista.

Haitalliset asiakirjat ja makrot

Toinen paljon hyödynnetty väylä on Office-asiakirjat, joissa on makroja tai DDE:täsekä PDF-tiedostoja, jotka on suunniteltu hyödyntämään lukijoiden haavoittuvuuksia. Näennäisesti harmiton Word- tai Excel-tiedosto voi sisältää VBA-koodia, joka käynnistää PowerShellin, WMI:n tai muita tulkkeja koodin lataamiseksi, komentojen suorittamiseksi tai komentotulkkikoodin syöttämiseksi luotettaviin prosesseihin.

Tässä levyllä oleva tiedosto on "vain" tietosäiliö, kun taas varsinainen vektori on sovelluksen sisäinen komentosarjamoottoriItse asiassa monet massaroskapostikampanjat ovat väärinkäyttäneet tätä taktiikkaa tiedostottomien hyökkäysten tekemiseen yritysverkkoihin.

Lailliset skriptit ja binäärit (Eläminen maan rahoilla)

Hyökkääjät rakastavat Windowsin jo tarjoamia työkaluja: PowerShell, wscript, cscript, mshta, rundll32, regsvr32Windows Management Instrumentation, BITS jne. Nämä allekirjoitetut ja luotetut binääritiedostot voivat suorittaa komentosarjoja, DLL-tiedostoja tai etäsisältöä ilman epäilyttävää "virus.exe"-tiedostoa.

Lähettämällä haitallista koodia komentoriviparametritSen upottaminen kuviin, salaaminen ja dekoodaus muistiin tai tallentaminen rekisteriin varmistaa, että virustorjuntaohjelma näkee vain laillisten prosessien toiminnan, mikä vaikeuttaa huomattavasti pelkästään tiedostoihin perustuvaa havaitsemista.

Vaarantunut laitteisto ja laiteohjelmisto

Vielä alemmalla tasolla edistyneet hyökkääjät voivat soluttautua BIOS-laiteohjelmisto, verkkokortit, kiintolevyt tai jopa suorittimen hallintajärjestelmät (kuten Intel ME tai AMT). Tämän tyyppinen haittaohjelma toimii käyttöjärjestelmän alapuolella ja voi siepata tai muokata liikennettä käyttöjärjestelmän tietämättä siitä.

Vaikka kyseessä on äärimmäinen skenaario, se havainnollistaa, missä määrin tiedostoton uhka voi Säilytä pysyvyys koskematta käyttöjärjestelmän tiedostojärjestelmäänja miksi klassiset päätepistetyökalut eivät riitä näissä tapauksissa.

Näin haittaohjelmahyökkäys toimii ilman pysyviä tiedostoja

Virtaustasolla tiedostoton hyökkäys on melko samanlainen kuin tiedostopohjainen, mutta merkitykselliset erot siinä, miten hyötykuorma toteutetaan ja miten käyttöoikeuksia ylläpidetään.

1. Järjestelmän ensimmäinen käyttöoikeus

Kaikki alkaa siitä, kun hyökkääjä saa ensimmäisen jalansijan: tietojenkalasteluviesti, jossa on haitallinen linkki tai liite, haavoittuvaa sovellusta vastaan ​​​​kohdistettu hyökkäys, varastetut RDP- tai VPN-tunnukset tai jopa peukaloitu USB-laite.

Tässä vaiheessa käytetään seuraavaa: sosiaalinen manipulointihaitalliset uudelleenohjaukset, haitallisen mainonnan kampanjat tai haitalliset Wi-Fi-hyökkäykset, joilla huijataan käyttäjää napsauttamaan ei-toivottuja sivustoja tai hyödynnetään internetissä olevia palveluita.

2. Haittakoodin suorittaminen muistissa

Kun ensimmäinen merkintä on saavutettu, tiedostoton komponentti käynnistyy: Office-makro käynnistää PowerShellin, hyökkäys lisää shell-koodia, WMI-tilaus käynnistää komentosarjan jne. Tavoitteena on lataa haitallista koodia suoraan RAM-muistiinjoko lataamalla sen internetistä tai rekonstruoimalla sen upotetuista tiedoista.

Sieltä haittaohjelma voi eskaloida oikeuksia, siirtää sivusuunnassa, varastaa tunnistetietoja, ottaa käyttöön webshell-tiedostoja, asentaa RAT-ohjelmia tai salata tietojaKaikkea tätä tukevat lailliset prosessit melun vähentämiseksi.

3. Pysyvyyden varmistaminen

Tavanomaisten tekniikoiden joukossa Ne löytyvät:

• Autorun-näppäimet rekisterissä, jotka suorittavat komentoja tai komentosarjoja sisäänkirjautumisen yhteydessä.
• Ajoitetut tehtävät jotka käynnistävät skriptejä, laillisia binääritiedostoja parametreilla tai etäkomentoja.
• WMI-tilaukset jotka käynnistävät koodin tiettyjen järjestelmätapahtumien yhteydessä.
• BITS-laitteiden käyttö hyötykuormien säännöllisiin latauksiin komento- ja ohjauspalvelimilta.

Tapauksissa pysyvä komponentti on minimaalinen ja palvelee vain uudelleenasenna haittaohjelma muistiin aina, kun järjestelmä käynnistyy tai tietty ehto täyttyy.

4. Kohteisiin ja soluttautumiseen kohdistuvat toimenpiteet

Sinnikkyydellään hyökkääjä keskittyy siihen, mikä häntä todella kiinnostaa: tietojen varastaminen, niiden salaaminen, järjestelmien manipulointi tai vakoilu kuukausien ajanTietojen vuotaminen voidaan tehdä HTTPS:n, DNS:n, peiteltyjen kanavien tai laillisten palveluiden kautta. Todellisissa tilanteissa tieto Mitä tehdä ensimmäisten 24 tunnin aikana hakkeroinnin jälkeen voi tehdä eron.

APT-hyökkäyksissä on yleistä, että haittaohjelma jää hiljainen ja salamyhkäinen pitkiä aikoja, rakentamalla lisää takaovia pääsyn varmistamiseksi, vaikka osa infrastruktuurista havaitaan ja raivataan.

Tiedostottoman haittaohjelman ominaisuudet ja tyypit

Käytännössä mikä tahansa haitallinen toiminto, jonka klassinen haittaohjelma voi suorittaa, voidaan toteuttaa tällä lähestymistavalla. tiedostoton tai puoliksi tiedostotonMuutos ei ole tavoite, vaan tapa, jolla koodia käytetään.

Vain muistissa olevat haittaohjelmat

Tähän luokkaan kuuluvat hyötykuormat, jotka Ne elävät yksinomaan prosessin tai ytimen muistissa.Nykyaikaiset rootkit-ohjelmat, edistyneet takaportit tai vakoiluohjelmat voivat latautua laillisen prosessin muistitilaan ja pysyä siellä, kunnes järjestelmä käynnistetään uudelleen.

Näitä komponentteja on erityisen vaikea nähdä levypohjaisilla työkaluilla, ja ne pakottavat käyttämään elävän muistin analyysi, EDR reaaliaikaisella tarkastuksella tai edistyneillä rikosteknisillä ominaisuuksilla.

Windowsin rekisteriin perustuva haittaohjelma

Toinen toistuva tekniikka on varastoida salattu tai hämärretty koodi rekisteriavaimissa ja käytä laillista binääritiedostoa (kuten PowerShelliä, MSHTA:ta tai rundll32:ta) sen lukemiseen, dekoodaamiseen ja suorittamiseen muistissa.

Alkuperäinen dropper voi tuhoutua itsestään rekisteriin kirjoittamisen jälkeen, joten jäljelle jää vain näennäisesti vaarattoman datan sekoitus, joka Ne aktivoivat uhan joka kerta, kun järjestelmä käynnistyy tai joka kerta, kun tietty tiedosto avataan.

Kiristysohjelmat ja tiedostottomat troijalaiset

Tiedostoton lähestymistapa ei ole yhteensopimaton erittäin aggressiivisten latausmenetelmien, kuten kiristysohjelmaOn olemassa kampanjoita, jotka lataavat, purkavat salauksen ja suorittavat koko salauksen muistissa PowerShellin tai WMI:n avulla jättämättä kiristysohjelman suoritettavaa tiedostoa levylle.

Samalla tavalla etäkäyttötroijalaiset (RAT)Näppäinpainallusten tallentajat tai tunnistetietojen varkaat voivat toimia puoliksi tiedostottomalla tavalla, ladata moduuleja pyynnöstä ja isännöidä päälogiikkaa laillisissa järjestelmäprosesseissa.

Hyökkäyspakkaukset ja varastetut tunnistetiedot

Verkkohyökkäyspaketit ovat toinen palanen palapeliä: ne havaitsevat asennetut ohjelmistot, Ne valitsevat sopivan hyökkäyshaavoittuvuuden ja syöttävät hyötykuorman suoraan muistiin., usein tallentamatta mitään levylle.

Toisaalta varastetut tunnistetiedot Se on vektori, joka sopii erittäin hyvin tiedostottomiin tekniikoihin: hyökkääjä todentaa itsensä lailliseksi käyttäjäksi ja käyttää sieltä väärin natiiveja hallintatyökaluja (PowerShell Remoting, WMI, PsExec) ottaakseen käyttöön komentosarjoja ja komentoja, jotka eivät jätä klassisia haittaohjelmien jälkiä.

Miksi tiedostottomia haittaohjelmia on niin vaikea havaita?

Perimmäinen syy on se, että tämäntyyppinen uhka on erityisesti suunniteltu ohittaa perinteiset puolustuskerroksetallekirjoitusten, sallittujen listojen ja säännöllisten tiedostotarkistusten perusteella.

Jos haitallista koodia ei koskaan tallenneta suoritettavana tiedostona levylle tai jos se piilee useissa eri säiliöissä, kuten WMI:ssä, rekisterissä tai laiteohjelmistossa, perinteisellä virustorjuntaohjelmistolla on hyvin vähän analysoitavaa. "Epäilyttävän tiedoston" sijaan sinulla on lailliset prosessit, jotka käyttäytyvät poikkeavasti.

Lisäksi se estää radikaalisti työkaluja, kuten PowerShellin, Office-makrot tai WMI:n. Se ei ole mahdollista monissa organisaatioissaKoska ne ovat välttämättömiä hallinnolle, automatisoinnille ja päivittäisille toimille. Tämä pakottaa puolestapuhujat toimimaan erittäin varovaisesti.

Jotkut toimittajat ovat yrittäneet kompensoida tätä pikakorjauksilla (yleinen PowerShellin esto, makrojen täydellinen poistaminen käytöstä, pilvipohjainen tunnistus jne.), mutta nämä toimenpiteet ovat yleensä... riittämätön tai liiallisen häiritsevä liiketoimintaa varten.

Nykyaikaisia ​​strategioita tiedostottoman haittaohjelman havaitsemiseksi ja pysäyttämiseksi

Näiden uhkien torjumiseksi on mentävä pelkän tiedostojen skannauksen edelle ja omaksuttava kohdennettu lähestymistapa. käyttäytyminen, reaaliaikainen telemetria ja syvällinen näkyvyys viimeisestä kohdasta.

Käyttäytymisen ja muistin seuranta

Tehokkaaseen lähestymistapaan kuuluu prosessien todellisen toiminnan tarkkailu: mitä komentoja ne suorittavat, mitä resursseja ne käyttävät ja mitä yhteyksiä ne muodostavatmiten ne liittyvät toisiinsa jne. Vaikka haittaohjelmavariantteja on tuhansia, haitalliset käyttäytymismallit ovat paljon rajallisempia. Tätä voidaan täydentää myös Edistynyt tunnistus YARA:lla.

Nykyaikaiset ratkaisut yhdistävät tämän telemetrian muistin sisäiseen analytiikkaan, edistyneeseen heuristiikkaan ja koneoppiminen hyökkäysketjujen tunnistamiseksi, vaikka koodi olisi pahasti hämärretty tai sitä ei olisi koskaan ennen nähty.

Järjestelmäliittymien, kuten AMSI:n ja ETW:n, käyttö

Windows tarjoaa teknologioita, kuten Haittaohjelmien torjuntatarkistusliittymä (AMSI) y Tapahtumien jäljitys Windowsissa (ETW) Näiden lähteiden avulla järjestelmäkomentosarjojen ja -tapahtumien tarkastelu on mahdollista hyvin matalalla tasolla. Näiden lähteiden integrointi tietoturvaratkaisuihin helpottaa havaitsemista. haitallista koodia juuri ennen sen suorittamista tai sen aikana.

Lisäksi kriittisten alueiden – ajoitettujen tehtävien, WMI-tilausten, käynnistysrekisteriavainten jne. – analysointi auttaa tunnistamaan salainen tiedostoton pysyvyys joka voisi jäädä huomaamatta yksinkertaisella tiedostojen skannauksella.

Uhkien metsästys ja hyökkäyksen indikaattorit (IoA)

Koska klassiset indikaattorit (hajautusarvot, tiedostopolut) eivät riitä, on suositeltavaa luottaa hyökkäyksen indikaattorit (IoA), jotka kuvaavat epäilyttävää käyttäytymistä ja toimintasarjoja, jotka sopivat tunnettuihin taktiikoihin.

Uhkienetsintätiimit – joko sisäiset tai hallinnoitujen palveluiden kautta – voivat etsiä ennakoivasti sivuttaisliikkeet, natiivien työkalujen väärinkäyttö, PowerShellin käytön poikkeavuudet tai luvatonta pääsyä arkaluonteisiin tietoihin, havaitsemalla tiedostottomat uhat ennen kuin ne laukaisevat katastrofin.

EDR, XDR ja SOC 24/7

Nykyaikaiset alustat EDR ja XDR (Päätepisteiden tunnistus ja reagointi laajennetulla tasolla) tarjoavat näkyvyyden ja korrelaation, joita tarvitaan tapahtuman koko historian rekonstruointiin ensimmäisestä tietojenkalasteluviestistä viimeiseen tietovuodon purkamiseen.

Yhdessä a:n kanssa 24/7 toimiva SOCNe mahdollistavat paitsi havaitsemisen myös rajoita ja korjaa automaattisesti haitallista toimintaa: eristä tietokoneet, estä prosessit, palauta rekisteriin tehdyt muutokset tai kumoa salaus mahdollisuuksien mukaan.

Tiedostottomat haittaohjelmatekniikat ovat mullistaneet pelin: pelkkä virustorjuntatarkistus ja epäilyttävän suoritettavan tiedoston poistaminen ei enää riitä. Nykyään puolustautumiseen kuuluu sen ymmärtäminen, miten hyökkääjät hyödyntävät haavoittuvuuksia piilottamalla koodia muistiin, rekisteriin, WMI:hin tai laiteohjelmistoon, sekä käyttäytymisen seurannan, muistin sisäisen analyysin, EDR/XDR:n, uhkien metsästyksen ja parhaiden käytäntöjen yhdistelmän käyttöönotto. Vähennä vaikutusta realistisesti Hyökkäykset, jotka on suunniteltu jättämään jälkiä sinne, missä perinteisemmät ratkaisut näyttävät olevan, vaativat kokonaisvaltaista ja jatkuvaa strategiaa. Kompromissin sattuessa on tärkeää tietää, Windowsin korjaaminen vakavan viruksen jälkeen Se on välttämätöntä.