Malver bez fajlovaFileless malware

Opis

Stiže kroz makroe, ranjivosti ili preko ukradenog pristupa; umesto da na računar spusti svoj program, služi se sa onim što sistem već ima. Svoje izvršavanje kači uz zakazane zadatke i Windows registre — opet bez upadljivog fajla. Posle ponovnog pokretanja računara nestaje iz memorije, ali se tehnikama perzistentnosti ponovo vraća.

Zaštita koja traži maliciozni fajl sa potpisom ovde nema šta da nađe. Odbrana mora da prati šta se dešava, a ne šta leži na disku: legitimne alate koji se ponašaju neuobičajeno, skripte koja se pokreću tamo gde im nije mesto, čudna ponavljajuća izvršavanja i zakazani zadaci. Bez praćenja ponašanja, ovaj malver može da se provuče ispod radara.

Primeri

• Makro iz dokumenta pokreće PowerShell koji ostalo odrađuje iz RAM memorije; na disku nema šta da se detektuje i obriše.
• Kroz ukradeni nalog napadač ima pristup većini alata u operativnom sistemu. Ukoliko je dovoljno vešt, ili ima jasno definisana uputstva, promene se teško uočavaju.
• Zakazani zadatak na računaru svako jutro pokreće proces u memoriji kroz koji napadaču omogućava konekciju i širenje prisustva.

Napomene

• Ako zaštita štiti samo od malicioznih fajlova na disku, malver bez fajlova ne može da detektuje.
• Zašto se ovaj zadatak izvršava i šta radi ova skripta su prva prava pitanja u rešavanju fileless malvera.