“Phần mềm độc hại không lưu trữ tệp tin” là gì và làm thế nào để phát hiện nó bằng các công cụ miễn phí?

Vẻ ngoài của phần mềm độc hại không có tệp tin tồn tại lâu dài Đây thực sự là một vấn đề nan giải đối với các nhóm bảo mật. Chúng ta không chỉ đối phó với loại virus thông thường mà bạn "nhiễm" khi xóa một tập tin thực thi khỏi ổ đĩa, mà còn với các mối đe dọa tồn tại trong bộ nhớ, lợi dụng các công cụ hệ thống hợp pháp và trong nhiều trường hợp, hầu như không để lại dấu vết nào có thể sử dụng để điều tra.

Loại tấn công này đặc biệt phổ biến trong các nhóm chuyên nghiệp và tội phạm mạng đang tìm kiếm... Né tránh phần mềm diệt virus truyền thống, đánh cắp dữ liệu và ẩn mình. càng lâu càng tốt. Hiểu cách chúng hoạt động, các kỹ thuật chúng sử dụng và cách phát hiện chúng là chìa khóa cho bất kỳ tổ chức nào muốn coi trọng an ninh mạng hiện nay.

Phần mềm độc hại không cần tệp là gì và tại sao nó lại đáng lo ngại đến vậy?

Khi chúng ta nói về phần mềm độc hại không có tệp Chúng tôi không nói rằng không có một byte nào liên quan, mà là mã độc hại. Nó không được lưu trữ dưới dạng tệp thực thi thông thường trên đĩa. Từ điểm cuối. Thay vào đó, nó chạy trực tiếp trong bộ nhớ hoặc được lưu trữ trong các vùng chứa ít được chú ý hơn như Registry, WMI hoặc các tác vụ theo lịch trình.

Trong nhiều trường hợp, kẻ tấn công dựa vào các công cụ đã có sẵn trong hệ thống—PowerShell, WMI, các tập lệnh, các tệp nhị phân Windows đã được ký—để Tải, giải mã hoặc thực thi các payload trực tiếp vào RAM.Bằng cách này, nó tránh để lại các tập tin thực thi dễ nhận biết mà phần mềm diệt virus dựa trên chữ ký có thể phát hiện trong quá trình quét thông thường.

Hơn nữa, một phần của chuỗi tấn công có thể "không cần tệp" và một phần khác có thể sử dụng hệ thống tệp, vì vậy chúng ta đang nói đến nhiều hơn một phương thức tấn công. phổ các kỹ thuật không cần tệp Đó là lý do tại sao không có một định nghĩa duy nhất, khép kín, mà thay vào đó là nhiều loại khác nhau tùy thuộc vào mức độ ảnh hưởng mà chúng gây ra cho máy tính.

Các đặc điểm chính của phần mềm độc hại không có tệp tin tồn tại lâu dài

Một đặc tính quan trọng của những mối đe dọa này là... thực thi tập trung vào bộ nhớMã độc được nạp vào RAM và thực thi trong các tiến trình hợp pháp, mà không cần tệp nhị phân độc hại ổn định trên ổ cứng. Trong một số trường hợp, nó thậm chí còn được tiêm vào các tiến trình hệ thống quan trọng để ngụy trang tốt hơn.

Một tính năng quan trọng khác là sự kiên trì phi truyền thốngNhiều chiến dịch không sử dụng tệp tin chỉ mang tính tạm thời và biến mất sau khi khởi động lại, nhưng một số khác lại có thể được kích hoạt lại bằng cách sử dụng các khóa Autorun trong Registry, các đăng ký WMI, các tác vụ theo lịch trình hoặc BITS, do đó dấu vết "hiển thị" là tối thiểu và tải trọng thực sự luôn được lưu trữ trong bộ nhớ mỗi lần.

Cách tiếp cận này làm giảm đáng kể hiệu quả của phát hiện dựa trên chữ kýVì không có tệp thực thi cố định nào để phân tích, nên những gì bạn thường thấy là một tập lệnh PowerShell.exe, wscript.exe hoặc mshta.exe hoàn toàn hợp pháp, được khởi chạy với các tham số đáng ngờ hoặc tải nội dung bị che giấu.

Cuối cùng, nhiều diễn viên kết hợp các kỹ thuật không cần tệp với các kỹ thuật khác. các loại phần mềm độc hại như Trojan, ransomware hoặc adware, dẫn đến các chiến dịch lai kết hợp những ưu điểm (và nhược điểm) của cả hai thế giới: sự kiên trì và sự lén lút.

Các loại mối đe dọa không cần tệp tin dựa trên tác động của chúng lên hệ thống.

Một số nhà sản xuất thiết bị an ninh Họ phân loại các mối đe dọa "không cần tệp" dựa trên dấu vết chúng để lại trên máy tính. Hệ thống phân loại này giúp chúng ta hiểu được những gì mình đang thấy và cách điều tra chúng.

Loại I: không có hoạt động tập tin nào hiển thị

Ở mức độ tinh vi nhất, chúng ta tìm thấy phần mềm độc hại mà... Nó không ghi bất cứ thứ gì vào hệ thống tập tin.Mã độc có thể xâm nhập, ví dụ, thông qua các gói mạng khai thác lỗ hổng (như EternalBlue), được tiêm trực tiếp vào bộ nhớ và được duy trì, ví dụ, như một cửa hậu trong nhân hệ điều hành (DoublePulsar là một trường hợp điển hình).

Trong những trường hợp khác, mầm bệnh cư trú ở... Phần mềm BIOS, card mạng, thiết bị USB, hoặc thậm chí các hệ thống con bên trong CPULoại mối đe dọa này có thể tồn tại ngay cả sau khi cài đặt lại hệ điều hành, định dạng ổ đĩa, và thậm chí cả một số lần khởi động lại hoàn toàn.

Vấn đề là hầu hết các giải pháp bảo mật đều như vậy. Họ không kiểm tra phần mềm nhúng hoặc mã vi chương trình.Và ngay cả khi họ làm được điều đó, việc khắc phục cũng rất phức tạp. May mắn thay, những kỹ thuật này thường chỉ dành cho các tác nhân cực kỳ tinh vi và không phải là điều phổ biến trong các cuộc tấn công quy mô lớn.

Loại II: Sử dụng tệp tin gián tiếp

Nhóm thứ hai dựa trên chứa mã độc trong các cấu trúc được lưu trữ trên đĩa.Nhưng chúng không tồn tại dưới dạng các tập tin thực thi truyền thống, mà nằm trong các kho lưu trữ chứa cả dữ liệu hợp pháp và độc hại, rất khó để làm sạch mà không gây hư hại cho hệ thống.

Ví dụ điển hình là các kịch bản được lưu trữ trong... Kho lưu trữ WMIcác chuỗi bị che giấu trong khóa đăng ký Hoặc các tác vụ theo lịch trình khởi chạy các lệnh nguy hiểm mà không có tệp nhị phân độc hại rõ ràng. Phần mềm độc hại có thể cài đặt các mục này trực tiếp từ dòng lệnh hoặc tập lệnh và sau đó hầu như không thể bị phát hiện.

Mặc dù về mặt kỹ thuật có liên quan đến các tệp (tệp vật lý nơi Windows lưu trữ kho lưu trữ WMI hoặc nhánh Registry), nhưng trên thực tế, chúng ta đang nói về... hoạt động không cần tệp Bởi vì không có tệp thực thi nào rõ ràng có thể dễ dàng bị cách ly.

Loại III: Cần có tệp tin để hoạt động

Loại thứ ba bao gồm các mối đe dọa mà Họ sử dụng các tập tin, nhưng theo cách không thực sự hữu ích cho việc phát hiện.Một ví dụ nổi tiếng là Kovter, phần mềm này đăng ký các phần mở rộng ngẫu nhiên trong Registry để khi một tệp có phần mở rộng đó được mở, một tập lệnh sẽ được thực thi thông qua mshta.exe hoặc một chương trình nhị phân gốc tương tự.

Các tập tin giả mạo này chứa dữ liệu không liên quan, còn mã độc thực sự nằm bên trong. Nó được lấy từ các khóa Registry khác. hoặc các kho lưu trữ nội bộ. Mặc dù có "thứ gì đó" trên ổ đĩa, nhưng rất khó để sử dụng nó như một chỉ báo đáng tin cậy về sự xâm phạm, càng không thể dùng nó như một cơ chế dọn dẹp trực tiếp.

Các con đường xâm nhập và điểm lây nhiễm phổ biến nhất

Ngoài việc phân loại dấu chân sinh thái, điều quan trọng là phải hiểu cách thức... Đây là lúc phần mềm độc hại không có tệp lưu trữ phát huy tác dụng. Trong cuộc sống thường nhật, kẻ tấn công thường kết hợp nhiều phương thức khác nhau tùy thuộc vào môi trường và mục tiêu.

Các lỗ hổng và điểm yếu

Một trong những con đường trực tiếp nhất là lạm dụng các lỗ hổng thực thi mã từ xa (RCE) Lỗ hổng này có thể được khai thác trong trình duyệt, các plugin (như Flash trước đây), ứng dụng web hoặc dịch vụ mạng (SMB, RDP, v.v.). Nó chèn mã độc (shellcode) để trực tiếp tải xuống hoặc giải mã phần mềm độc hại vào bộ nhớ.

Trong mô hình này, tập tin ban đầu có thể nằm trên mạng (loại khai thác). WannaCryhoặc trong một tài liệu mà người dùng mở ra, nhưng Dữ liệu tải trọng không bao giờ được ghi dưới dạng tệp thực thi vào ổ đĩa.Nó được giải mã và thực thi ngay lập tức từ bộ nhớ RAM.

Tài liệu và macro độc hại

Một hướng đi khác được khai thác triệt để là... Tài liệu văn phòng có chứa macro hoặc DDECũng như các tệp PDF được thiết kế để khai thác các lỗ hổng của trình đọc. Một tệp Word hoặc Excel tưởng chừng vô hại có thể chứa mã VBA khởi chạy PowerShell, WMI hoặc các trình thông dịch khác để tải xuống mã, thực thi lệnh hoặc chèn mã độc vào các tiến trình đáng tin cậy.

Ở đây, tập tin trên đĩa "chỉ" là một vùng chứa dữ liệu, trong khi vectơ thực sự mới là... công cụ kịch bản nội bộ của ứng dụngTrên thực tế, nhiều chiến dịch gửi thư rác hàng loạt đã lạm dụng chiến thuật này để triển khai các cuộc tấn công không cần tệp tin vào mạng lưới doanh nghiệp.

Các kịch bản và mã nhị phân hợp pháp (Sống dựa vào đất đai)

Kẻ tấn công rất thích những công cụ mà Windows đã cung cấp sẵn: PowerShell, wscript, cscript, mshta, rundll32, regsvr32Windows Management Instrumentation, BITS, v.v. Các tập tin nhị phân đã được ký và đáng tin cậy này có thể thực thi các tập lệnh, DLL hoặc nội dung từ xa mà không cần đến một "virus.exe" đáng ngờ.

Bằng cách truyền mã độc hại như tham số dòng lệnhViệc nhúng nó vào hình ảnh, mã hóa và giải mã nó trong bộ nhớ, hoặc lưu trữ nó trong Registry, đảm bảo rằng phần mềm diệt virus chỉ phát hiện hoạt động từ các tiến trình hợp pháp, khiến việc phát hiện chỉ dựa trên tệp tin trở nên khó khăn hơn nhiều.

Phần cứng và phần mềm bị xâm phạm

Ở cấp độ thấp hơn nữa, những kẻ tấn công tinh vi có thể xâm nhập. Phần mềm BIOS, card mạng, ổ cứng, hoặc thậm chí cả các hệ thống quản lý CPU. (chẳng hạn như Intel ME hoặc AMT). Loại phần mềm độc hại này chạy ngầm dưới hệ điều hành và có thể chặn hoặc sửa đổi lưu lượng truy cập mà hệ điều hành không hề hay biết.

Mặc dù đây là một kịch bản cực đoan, nhưng nó minh họa mức độ nguy hiểm mà một mối đe dọa không cần tệp tin có thể gây ra. Duy trì tính ổn định mà không cần can thiệp vào hệ thống tập tin của hệ điều hành.và lý do tại sao các công cụ kiểm soát điểm cuối truyền thống lại không hiệu quả trong những trường hợp này.

Cách thức tấn công phần mềm độc hại không sử dụng tập tin lưu trữ hoạt động như thế nào

Ở cấp độ luồng dữ liệu, một cuộc tấn công không dùng tập tin khá giống với một cuộc tấn công dùng tập tin, nhưng khác ở chỗ... sự khác biệt có liên quan về cách thức triển khai tải trọng và cách duy trì quyền truy cập.

1. Lần đầu tiên truy cập vào hệ thống

Mọi chuyện bắt đầu khi kẻ tấn công giành được chỗ đứng đầu tiên: một Email lừa đảo có chứa liên kết hoặc tệp đính kèm độc hại., một lỗ hổng bảo mật trong ứng dụng, thông tin đăng nhập bị đánh cắp cho RDP hoặc VPN, hoặc thậm chí là một thiết bị USB bị can thiệp.

Trong giai đoạn này, các yếu tố sau được sử dụng: kỹ thuật xã hộiCác hành vi chuyển hướng độc hại, chiến dịch quảng cáo độc hại hoặc các cuộc tấn công Wi-Fi độc hại nhằm lừa người dùng nhấp chuột vào những nơi không nên nhấp hoặc khai thác các dịch vụ được phơi bày trên Internet.

2. Thực thi mã độc trong bộ nhớ

Khi có được thông tin đăng nhập đầu tiên, thành phần không cần tệp sẽ được kích hoạt: một macro Office khởi chạy PowerShell, một lỗ hổng bảo mật chèn mã shellcode, một đăng ký WMI kích hoạt một tập lệnh, v.v. Mục tiêu là Tải mã độc trực tiếp vào RAMhoặc bằng cách tải xuống từ Internet hoặc bằng cách tái tạo lại từ dữ liệu được nhúng.

Từ đó, phần mềm độc hại có thể leo thang đặc quyền, di chuyển ngang, đánh cắp thông tin đăng nhập, triển khai webshell, cài đặt RAT hoặc mã hóa dữ liệu.Tất cả những điều này đều được hỗ trợ bởi các quy trình hợp pháp nhằm giảm thiểu tiếng ồn.

3. Xây dựng tính bền vững

Trong số các kỹ thuật thông thường Họ là:

• Khóa tự động chạy trong Registry, các lệnh hoặc tập lệnh được thực thi khi đăng nhập.
• Scheduled Tasks Những tập lệnh khởi chạy, các tệp nhị phân hợp lệ có tham số hoặc các lệnh từ xa.
• Đăng ký WMI Những đoạn mã này sẽ kích hoạt mã khi một số sự kiện hệ thống nhất định xảy ra.
• Sử dụng BITS Để tải xuống định kỳ các gói dữ liệu từ máy chủ chỉ huy và kiểm soát.

Trong một số trường hợp, thành phần tồn tại lâu dài là tối thiểu và chỉ phục vụ cho mục đích nhất định. tiêm lại phần mềm độc hại vào bộ nhớ Mỗi khi hệ thống khởi động hoặc khi một điều kiện cụ thể được đáp ứng.

4. Hành động nhắm vào mục tiêu và rút lui

Với sự kiên trì được đảm bảo, kẻ tấn công tập trung vào những gì thực sự thu hút hắn: Đánh cắp thông tin, mã hóa thông tin, thao túng hệ thống hoặc do thám trong nhiều tháng.Việc đánh cắp dữ liệu có thể được thực hiện thông qua HTTPS, DNS, các kênh bí mật hoặc các dịch vụ hợp pháp. Trong các sự cố thực tế, việc biết được Nên làm gì trong 24 giờ đầu tiên sau khi bị tấn công mạng? có thể tạo ra sự khác biệt

Trong các cuộc tấn công APT, phần mềm độc hại thường tồn tại lâu dài. im lặng và lén lút trong thời gian dài.Xây dựng thêm các "cửa hậu" để đảm bảo truy cập ngay cả khi một phần cơ sở hạ tầng bị phát hiện và vô hiệu hóa.

Khả năng và các loại phần mềm độc hại có thể không cần tệp tin

Hầu như bất kỳ chức năng độc hại nào mà phần mềm độc hại cổ điển có thể thực hiện đều có thể được triển khai bằng cách làm theo phương pháp này. không cần tệp hoặc bán không cần tệpĐiều thay đổi không phải là mục tiêu, mà là cách thức triển khai mã.

Phần mềm độc hại chỉ tồn tại trong bộ nhớ

Danh mục này bao gồm các tải trọng mà Chúng chỉ tồn tại trong bộ nhớ của tiến trình hoặc nhân hệ điều hành.Các rootkit hiện đại, các phần mềm cửa hậu tiên tiến hoặc các công cụ phần mềm gián điệp có thể xâm nhập vào bộ nhớ của một tiến trình hợp pháp và tồn tại ở đó cho đến khi hệ thống được khởi động lại.

Các thành phần này đặc biệt khó nhìn thấy bằng các công cụ định hướng đĩa, và buộc phải sử dụng... phân tích bộ nhớ trực tiếpEDR với khả năng kiểm tra thời gian thực hoặc các chức năng điều tra pháp y nâng cao.

Phần mềm độc hại dựa trên Registry của Windows

Một kỹ thuật thường xuyên được sử dụng khác là lưu trữ mã được mã hóa hoặc làm mờ trong các khóa Registry và sử dụng một chương trình nhị phân hợp lệ (như PowerShell, MSHTA hoặc rundll32) để đọc, giải mã và thực thi nó trong bộ nhớ.

Chương trình phát tán ban đầu có thể tự hủy sau khi ghi vào Registry, vì vậy tất cả những gì còn lại chỉ là một hỗn hợp dữ liệu tưởng chừng như vô hại. Chúng kích hoạt mối đe dọa mỗi khi hệ thống khởi động. hoặc mỗi khi một tệp cụ thể được mở.

Phần mềm tống tiền và Trojan không cần tệp

Phương pháp không dùng tập tin không hề mâu thuẫn với các phương pháp tải rất mạnh mẽ như... ransomwareCó những chiến dịch tấn công tải xuống, giải mã và thực thi toàn bộ mã độc tống tiền trong bộ nhớ bằng PowerShell hoặc WMI, mà không để lại tệp thực thi của mã độc tống tiền trên ổ đĩa.

Tương tự như vậy, Trojan truy cập từ xa (RAT)Các phần mềm ghi lại thao tác bàn phím hoặc đánh cắp thông tin đăng nhập có thể hoạt động theo kiểu bán không cần tệp, tải các mô-đun khi cần và lưu trữ logic chính trong các tiến trình hệ thống hợp pháp.

Bộ công cụ khai thác lỗ hổng và thông tin đăng nhập bị đánh cắp

Bộ công cụ khai thác lỗ hổng web là một mảnh ghép khác của bức tranh: chúng phát hiện phần mềm đã được cài đặt, Họ chọn lỗ hổng bảo mật phù hợp và tiêm trực tiếp mã độc vào bộ nhớ.Thường thì không hề lưu bất cứ thứ gì vào ổ đĩa.

Mặt khác, việc sử dụng thông tin đăng nhập bị đánh cắp Đây là một phương thức tấn công rất phù hợp với các kỹ thuật không cần tệp: kẻ tấn công xác thực với tư cách người dùng hợp pháp và từ đó, lợi dụng các công cụ quản trị gốc (PowerShell Remoting, WMI, PsExec) để triển khai các tập lệnh và lệnh mà không để lại dấu vết điển hình của phần mềm độc hại.

Tại sao phần mềm độc hại không cần tệp tin lại khó phát hiện đến vậy?

Lý do cốt lõi là loại mối đe dọa này được thiết kế đặc biệt để vượt qua các lớp phòng thủ truyền thốngDựa trên chữ ký điện tử, danh sách trắng và quá trình quét tập tin định kỳ.

Nếu mã độc không bao giờ được lưu dưới dạng tệp thực thi trên ổ đĩa, hoặc nếu nó ẩn náu trong các vùng chứa hỗn hợp như WMI, Registry hoặc firmware, phần mềm chống virus truyền thống sẽ có rất ít thứ để phân tích. Thay vì một "tệp đáng ngờ", thứ bạn có là... các quy trình hợp pháp hoạt động bất thường.

Hơn nữa, nó chặn hoàn toàn các công cụ như PowerShell, macro Office hoặc WMI. Điều đó không khả thi ở nhiều tổ chức.Vì chúng rất cần thiết cho việc quản lý, tự động hóa và các hoạt động hàng ngày. Điều này buộc những người ủng hộ phải hết sức thận trọng.

Một số nhà cung cấp đã cố gắng bù đắp bằng các giải pháp tạm thời (chặn PowerShell chung chung, vô hiệu hóa hoàn toàn macro, chỉ phát hiện trên đám mây, v.v.), nhưng các biện pháp này thường không hiệu quả. không đủ hoặc gây rối quá mức cho doanh nghiệp.

Các chiến lược hiện đại để phát hiện và ngăn chặn phần mềm độc hại không cần tệp

Để đối phó với những mối đe dọa này, cần phải vượt ra ngoài việc chỉ đơn thuần quét các tập tin và áp dụng một phương pháp tiếp cận tập trung hơn. hành vi, đo từ xa theo thời gian thực và khả năng hiển thị sâu sắc về điểm cuối cùng.

Giám sát hành vi và trí nhớ

Một cách tiếp cận hiệu quả là quan sát xem các quy trình thực sự hoạt động như thế nào: Những lệnh nào chúng thực thi, những tài nguyên nào chúng truy cập, những kết nối nào chúng thiết lập.Mối liên hệ giữa chúng với nhau, v.v. Mặc dù có hàng ngàn biến thể phần mềm độc hại, nhưng các mô hình hành vi độc hại lại hạn chế hơn nhiều. Điều này cũng có thể được bổ sung bằng... Phát hiện nâng cao với YARA.

Các giải pháp hiện đại kết hợp khả năng đo từ xa này với phân tích dữ liệu trong bộ nhớ, thuật toán phán đoán nâng cao và học máy Để xác định các chuỗi tấn công, ngay cả khi mã nguồn bị che giấu rất nhiều hoặc chưa từng được nhìn thấy trước đây.

Sử dụng các giao diện hệ thống như AMSI và ETW

Windows cung cấp các công nghệ như... Giao diện quét Antimalware (AMSI) y Theo dõi sự kiện cho Windows (ETW) Các nguồn này cho phép kiểm tra các kịch bản và sự kiện hệ thống ở cấp độ rất thấp. Việc tích hợp các nguồn này vào các giải pháp bảo mật giúp việc phát hiện dễ dàng hơn. mã độc ngay trước hoặc trong quá trình thực thi.

Ngoài ra, việc phân tích các khu vực quan trọng—các tác vụ theo lịch trình, đăng ký WMI, khóa đăng ký khởi động, v.v.—giúp xác định sự kiên trì bí mật không cần tệp Điều đó có thể không bị phát hiện nếu chỉ quét tệp tin đơn giản.

Săn lùng mối đe dọa và các dấu hiệu tấn công (IoA)

Vì các chỉ báo truyền thống (mã băm, đường dẫn tệp) không đáp ứng được yêu cầu, nên tốt hơn hết là nên dựa vào... chỉ báo tấn công (IoA), mô tả các hành vi và chuỗi hành động đáng ngờ phù hợp với các chiến thuật đã biết.

Các nhóm săn lùng mối đe dọa—nội bộ hoặc thông qua các dịch vụ được quản lý—có thể chủ động tìm kiếm Các kiểu di chuyển ngang, lạm dụng các công cụ gốc, các bất thường trong việc sử dụng PowerShell hoặc truy cập trái phép vào dữ liệu nhạy cảm, phát hiện các mối đe dọa không cần tệp trước khi chúng gây ra thảm họa.

EDR, XDR và ​​SOC 24/7

Các nền tảng hiện đại của EDR và ​​XDR (Phát hiện và phản hồi điểm cuối ở cấp độ mở rộng) cung cấp khả năng hiển thị và tương quan cần thiết để tái tạo toàn bộ lịch sử của một sự cố, từ email lừa đảo đầu tiên đến hành vi đánh cắp dữ liệu cuối cùng.

Kết hợp với Trung tâm điều hành an ninh (SOC) hoạt động 24/7.Chúng không chỉ cho phép phát hiện mà còn ngăn chặn và khắc phục tự động Hoạt động độc hại: cách ly máy tính, chặn các tiến trình, hoàn tác các thay đổi đối với Registry hoặc giải mã dữ liệu khi có thể.

Các kỹ thuật phần mềm độc hại không cần tệp đã thay đổi cuộc chơi: chỉ đơn giản chạy quét virus và xóa tệp thực thi đáng ngờ không còn đủ nữa. Ngày nay, phòng thủ bao gồm việc hiểu cách kẻ tấn công khai thác các lỗ hổng bằng cách ẩn mã trong bộ nhớ, Registry, WMI hoặc firmware, và triển khai kết hợp giám sát hành vi, phân tích trong bộ nhớ, EDR/XDR, săn lùng mối đe dọa và các biện pháp tốt nhất. Giảm thiểu tác động một cách thực tế Các cuộc tấn công được thiết kế để không để lại dấu vết, trong khi các giải pháp truyền thống lại tìm cách giải quyết vấn đề, đòi hỏi một chiến lược toàn diện và liên tục. Trong trường hợp bị xâm phạm, việc biết được điều đó là rất quan trọng. Sửa chữa Windows sau khi bị nhiễm virus nghiêm trọng là điều cần thiết.