Dateilose Malware ist Schadcode, der im Arbeitsspeicher läuft oder sich in legitimen Systemkomponenten versteckt, statt eine klassische ausführbare Datei auf der Festplatte abzulegen.
Wie dateilose Malware funktioniert
Klassische Malware legt eine .exe-Datei ab, die ein Antivirenprogramm prüfen kann. Dateilose Angriffe vermeiden das. Typische Techniken:
- Skripte direkt im Speicher mit PowerShell, WMI, mshta oder rundll32 ausführen;
- Code in den Speicher legitimer Prozesse injizieren;
- verschlüsselte Payloads in der Windows-Registry oder in WMI-Abonnements statt in Dateien speichern;
- Makros und Exploits, die Code herunterladen und ausführen, ohne ihn auf die Platte zu schreiben.
Persistenz erreichen Angreifer über Run-Schlüssel in der Registry, geplante Tasks oder WMI-Abonnements, die den Speichercode nach einem Neustart erneut starten. Frühe Beispiele wie Poweliks und Kovter versteckten ihren gesamten Code in der Registry. Viele moderne Angriffe sind faktisch dateilos, weil Angreifer nur Bordmittel nutzen – ein Ansatz namens Living off the Land.
Warum das wichtig ist
Ohne Datei haben signaturbasierte Werkzeuge kaum etwas zu erkennen, und forensische Spuren verschwinden nach einem Neustart. Die Aktivität läuft über vertrauenswürdige, von Microsoft signierte Programme und geht in normaler Administration unter. Deshalb sind dateilose Techniken bei APT-Gruppen wie bei Ransomware-Affiliates beliebt.
Erkennung und Prävention
- EDR mit Speicherscans und Verhaltenserkennung einsetzen.
- PowerShell-Script-Block-Logging, AMSI und die Protokollierung von Kommandozeilen aktivieren.
- PowerShell per Constrained Language Mode und Application Control (WDAC, AppLocker) einschränken.
- Office-Makros aus dem Internet blockieren und Systeme aktuell halten.
