Identifisering av filløse filer: en komplett veiledning for å oppdage og stoppe skadelig programvare i minnet

Angrep som opererer uten å etterlate spor på disken har blitt en stor hodepine for mange sikkerhetsteam fordi de kjøres utelukkende i minnet og utnytter legitime systemprosesser. Derfor er det viktig å vite hvordan identifisere filløse filer og forsvare seg mot dem.

Utover overskrifter og trender, er det forskjellen mellom å begrense en hendelse og å angre på et brudd å forstå hvordan de fungerer, hvorfor de er så unnvikende og hvilke tegn som lar oss oppdage dem. I de følgende linjene analyserer vi problemet og foreslår løsninger.

Hva er filløs skadelig programvare, og hvorfor er det viktig?

 

Filløs skadelig programvare er ikke en spesifikk familie, men snarere en måte å operere på: Unngå å skrive kjørbare filer til disk Den bruker tjenester og binærfiler som allerede finnes i systemet til å kjøre skadelig kode. I stedet for å etterlate en fil som er lett å skanne, misbruker angriperen pålitelige verktøy og laster logikken direkte inn i RAM-en.

Denne tilnærmingen er ofte inkludert i «Living off the Land»-filosofien: angripere instrumentaliserer innebygde verktøy som PowerShell, WMI, mshta og rundll32 eller skriptmotorer som VBScript og JScript for å nå målene sine med minimal støy.

Blant de mest representative trekkene finner vi: utførelse i flyktig minne, liten eller ingen persistens på disk, bruk av systemsignerte komponenter og høy unnvikelseskapasitet mot signaturbaserte motorer.

Selv om mange nyttelaster forsvinner etter en omstart, ikke la deg lure: motstandere kan etablere utholdenhet ved å utnytte registernøkler, WMI-abonnementer eller planlagte oppgaver, alt uten å legge igjen mistenkelige binærfiler på disken.

Hvorfor synes vi det er så vanskelig å identifisere filløse filer?

Den første barrieren er åpenbar: Det finnes ingen avvikende filer å inspisereTradisjonelle antivirusprogrammer basert på signaturer og filanalyse har lite handlingsrom når kjøringen befinner seg i gyldige prosesser og ondsinnet logikk befinner seg i minnet.

Det andre er mer subtilt: angriperne kamuflerer seg bak legitime operativsystemprosesserHvis PowerShell eller WMI brukes daglig til administrasjon, hvordan kan man skille normal bruk fra ondsinnet bruk uten kontekst og atferdstelemetri?

Videre er det ikke mulig å blindt blokkere kritiske verktøy. Deaktivering av PowerShell- eller Office-makroer på alle områder kan forstyrre driften og Det forhindrer ikke misbruk fullstendigfordi det finnes flere alternative utførelsesveier og teknikker for å omgå enkle blokker.

Som prikken over i-en er skybasert eller serversidedeteksjon for sent til å forhindre problemer. Uten lokal innsikt i problemet i sanntid... kommandolinjer, prosessrelasjoner og logghendelserAgenten kan ikke umiddelbart redusere en ondsinnet flyt som ikke etterlater spor på disken.

Hvordan et filløst angrep fungerer fra start til slutt

Førstegangstilgang skjer vanligvis med de samme vektorene som alltid: phishing med Office-dokumenter som ber om å aktivere aktivt innhold, lenker til kompromitterte nettsteder, utnyttelse av sårbarheter i eksponerte applikasjoner eller misbruk av lekket legitimasjon for tilgang via RDP eller andre tjenester.

Når motstanderen er inne, prøver han å utføre en utførelse uten å berøre disken. For å gjøre dette, kjeder de sammen systemfunksjonalitetene: makroer eller DDE i dokumenter som starter kommandoer, utnytter overløp for RCE, eller aktiverer klarerte binærfiler som tillater lasting og kjøring av kode i minnet.

Hvis operasjonen krever kontinuitet, kan persistens implementeres uten å distribuere nye kjørbare filer: oppstartsoppføringer i registeretWMI-abonnementer som reagerer på systemhendelser eller planlagte oppgaver som utløser skript under visse betingelser.

Når utførelsen er etablert, dikterer målet følgende trinn: beveg deg sidelengs, eksfiltrer dataDette inkluderer å stjele legitimasjon, utplassere en RAT, utvinne kryptovalutaer eller aktivere filkryptering i tilfelle løsepengevirus. Alt dette gjøres, når det er mulig, ved å utnytte eksisterende funksjoner.

Å fjerne bevis er en del av planen: ved å ikke skrive mistenkelige binærfiler, reduserer angriperen gjenstandene som skal analyseres betydelig. blande aktiviteten sin mellom normale hendelser av systemet og slette midlertidige spor når det er mulig.

Teknikker og verktøy som de vanligvis bruker

Katalogen er omfattende, men den dreier seg nesten alltid om innebygde verktøy og pålitelige ruter. Dette er noen av de vanligste, alltid med mål om maksimer utførelse i minnet og visker ut sporet:

• PowerShellKraftig skripting, tilgang til Windows API-er og automatisering. Allsidigheten gjør den til en favoritt for både administrasjon og støtende misbruk.
• WMI (Windows Management Instrumentation)Den lar deg spørre om og reagere på systemhendelser, samt utføre eksterne og lokale handlinger; nyttig for utholdenhet og orkestrering.
• VBScript og JScript: motorer som finnes i mange miljøer og som forenkler utførelse av logikk gjennom systemkomponenter.
• mshta, rundll32 og andre pålitelige binærfiler: de velkjente LoLBins som, når de er riktig koblet, kan kjøre kode uten å miste artefakter tydelig på disken.
• Dokumenter med aktivt innholdMakroer eller DDE i Office, samt PDF-lesere med avanserte funksjoner, kan tjene som et springbrett for å starte kommandoer i minnet.
• Windows-registerselvoppstartsnøkler eller kryptert/skjult lagring av nyttelaster som aktiveres av systemkomponenter.
• Beslaglegging og injeksjon i prosesser: modifisering av minneplassen til kjørende prosesser for vert for ondsinnet logikk i en legitim kjørbar fil.
• DriftssettDeteksjon av sårbarheter i offerets system og utrulling av skreddersydde angrep for å oppnå kjøring uten å berøre disken.

Utfordringen for bedrifter (og hvorfor det ikke er nok å bare blokkere alt)

En naiv tilnærming antyder et drastisk tiltak: blokkering av PowerShell, forbud mot makroer, forbud mot binærfiler som rundll32. Realiteten er mer nyansert: Mange av disse verktøyene er essensielle. for daglig IT-drift og for administrativ automatisering.

I tillegg ser angripere etter smutthull: de kjører skriptmotoren på andre måter, bruk alternative kopierDu kan pakke logikk inn i bilder eller ty til mindre overvåkede LoLBins. Brute blokkering skaper til slutt friksjon uten å gi et fullstendig forsvar.

Rent serverbasert eller skybasert analyse løser heller ikke problemet. Uten omfattende endepunkttelemetri og uten responsiviteten i selve agentenAvgjørelsen kommer sent, og forebygging er ikke gjennomførbart fordi vi må vente på en ekstern dom.

I mellomtiden har markedsrapporter lenge pekt på en svært betydelig vekst i dette området, med topper der Forsøk på å misbruke PowerShell nesten doblet seg i korte perioder, noe som bekrefter at det er en tilbakevendende og lønnsom taktikk for motstandere.

Moderne deteksjon: fra fil til oppførsel

Nøkkelen er ikke hvem som utfører, men hvordan og hvorfor. Overvåking av prosessatferd og dens sammenhenger Det er avgjørende: kommandolinje, prosessarv, sensitive API-kall, utgående tilkoblinger, registerendringer og WMI-hendelser.

Denne tilnærmingen reduserer unnvikelsesflaten drastisk: selv om de involverte binærfilene endres, vil angrepsmønstrene gjentas (skript som lastes ned og kjøres i minnet, misbruk av LoLBins, påkalling av tolker osv.). Deteksjonen forbedres ved å analysere skriptet, ikke «identiteten» til filen.

Effektive EDR/XDR-plattformer korrelerer signaler for å rekonstruere hele hendelseshistorikken, og identifiserer Opprinnelig årsak I stedet for å skylde på prosessen som «dukket opp», kobler denne fortellingen vedlegg, makroer, tolker, nyttelaster og persistens for å redusere hele flyten, ikke bare en isolert del.

Anvendelsen av rammeverk som f.eks. MITER ATT & CK Det hjelper med å kartlegge observerte taktikker og teknikker (TTP-er) og veilede trusseljakt mot atferd av interesse: utførelse, utholdenhet, forsvarsundvikelse, tilgang til legitimasjon, oppdagelse, lateral bevegelse og eksfiltrering.

Til slutt må endepunktresponsorkestreringen være umiddelbar: isoler enheten, sluttprosesser involvert, tilbakestille endringer i registeret eller oppgaveplanleggeren og blokkere mistenkelige utgående tilkoblinger uten å vente på eksterne bekreftelser.

Nyttig telemetri: hva du skal se på og hvordan du skal prioritere

For å øke sannsynligheten for deteksjon uten å mette systemet, anbefales det å prioritere signaler med høy verdi. Noen kilder og kontroller som gir kontekst. kritisk for filløse er:

• Detaljert PowerShell-logg og andre tolker: skriptblokklogg, kommandohistorikk, lastede moduler og AMSI-hendelser, når tilgjengelig.
• WMI-arkivetInventar og varsler angående opprettelse eller endring av hendelsesfiltre, forbrukere og lenker, spesielt i sensitive navnerom.
• Sikkerhetshendelser og Sysmonprosesskorrelasjon, bildeintegritet, minneinnlasting, injeksjon og oppretting av planlagte oppgaver.
• Rød: anomale utgående forbindelser, beaconing, nedlastingsmønstre for nyttelast og bruk av skjulte kanaler for eksfiltrering.

Automatisering bidrar til å skille klinten fra hveten: atferdsbaserte deteksjonsregler, tillatelseslister for legitim administrasjon og berikelse med trusselinformasjon begrenser falske positiver og akselererer responsen.

Forebygging og reduksjon av overflate

Ingen enkeltstående tiltak er tilstrekkelig, men et lagdelt forsvar reduserer risikoen betraktelig. På den forebyggende siden er det flere handlingslinjer som skiller seg ut. avlingsvektorer og gjøre livet vanskeligere for motstanderen:

• Makrohåndtering: deaktiver som standard og tillat kun når det er absolutt nødvendig og signert; detaljerte kontroller via gruppepolicyer.
• Begrensning av tolker og LoLBinsBruk AppLocker/WDAC eller tilsvarende, kontroll over skript og utførelsesmaler med omfattende logging.
• Oppdatering og begrensningerlukk utnyttbare sårbarheter og aktiver minnebeskyttelse som begrenser RCE og injeksjoner.
• Sterk autentiseringMFA og nulltillitsprinsipper for å bekjempe misbruk av legitimasjon og redusere sidebevegelse.
• Bevissthet og simuleringerPraktisk opplæring i phishing, dokumenter med aktivt innhold og tegn på unormal utførelse.

Disse tiltakene suppleres av løsninger som analyserer trafikk og minne for å identifisere ondsinnet oppførsel i sanntid, samt segmenteringspolicyer og minimale privilegier for å begrense virkningen når noe glipper gjennom.

Tjenester og tilnærminger som fungerer

I miljøer med mange endepunkter og høy kritikalitet, administrerte deteksjons- og responstjenester med Døgnkontinuerlig overvåking De har vist seg å akselerere hendelsesinnsamling. Kombinasjonen av SOC, EMDR/MDR og EDR/XDR gir ekspertøyne, omfattende telemetri og koordinerte responsmuligheter.

De mest effektive leverandørene har internalisert skiftet til atferd: lette agenter som korreler aktivitet på kjernenivåDe rekonstruerer komplette angrepshistorikker og bruker automatiske tiltak når de oppdager ondsinnede kjeder, med tilbakestillingsfunksjon for å angre endringer.

Parallelt integrerer endepunktbeskyttelsespakker og XDR-plattformer sentralisert synlighet og trusselhåndtering på tvers av arbeidsstasjoner, servere, identiteter, e-post og skyen. Målet er å avvikle angrepskjeden uavhengig av om filer er involvert eller ikke.

Praktiske indikatorer for trusseljakt

Hvis du må prioritere søkehypoteser, fokuser på å kombinere signaler: en kontorprosess som starter en tolk med uvanlige parametere, Oppretting av WMI-abonnement Etter åpning av et dokument, endringer i oppstartsnøkler etterfulgt av tilkoblinger til domener med dårlig omdømme.

En annen effektiv tilnærming er å stole på grunnlinjer fra miljøet ditt: hva er normalt på serverne og arbeidsstasjonene dine? Eventuelle avvik (nysignerte binærfiler som vises som foreldre til tolker, plutselige topper i ytelse (av skript, kommandostrenger med obfuskasjon) fortjener undersøkelse.

Til slutt, ikke glem hukommelsen: hvis du har verktøy som inspiserer kjørende regioner eller tar øyeblikksbilder, funnene i RAM De kan være det definitive beviset på filløs aktivitet, spesielt når det ikke finnes artefakter i filsystemet.

Kombinasjonen av disse taktikkene, teknikkene og kontrollene eliminerer ikke trusselen, men det setter deg i en bedre posisjon til å oppdage den i tide. kutt kjeden og redusere virkningen.

Når alt dette brukes med omhu – endepunktsrik telemetri, atferdskorrelasjon, automatisert respons og selektiv herding – mister den filløse taktikken mye av sin fordel. Og selv om den vil fortsette å utvikle seg, fokuset på atferd I stedet for i filer, gir det et solid grunnlag for at forsvaret ditt kan utvikle seg med det.