El malware sin archivos (fileless) es código malicioso que se ejecuta en memoria o se esconde en componentes legítimos del sistema en lugar de guardar un ejecutable tradicional en el disco.
Cómo funciona el malware sin archivos
El malware clásico deja en el disco un archivo .exe que el antivirus puede analizar. Los ataques sin archivos lo evitan. Técnicas típicas:
- ejecutar scripts directamente en memoria con PowerShell, WMI, mshta o rundll32;
- inyectar código en la memoria de procesos legítimos;
- guardar cargas cifradas en el registro de Windows o en suscripciones WMI en lugar de en archivos;
- usar macros y exploits que descargan y ejecutan código sin escribirlo en el disco.
La persistencia se logra con claves Run del registro, tareas programadas o suscripciones WMI que vuelven a lanzar el código en memoria tras reiniciar. Ejemplos tempranos como Poweliks y Kovter escondían todo su cuerpo en el registro. Muchas intrusiones actuales son de hecho «sin archivos» porque los atacantes solo usan herramientas integradas, un enfoque conocido como living off the land.
Por qué es importante
Sin archivo, las herramientas basadas en firmas apenas tienen nada que detectar, y los rastros forenses desaparecen al reiniciar. La actividad la ejecutan binarios de confianza firmados por Microsoft y se confunde con la administración normal. Por eso estas técnicas son populares tanto entre grupos APT como entre afiliados de ransomware.
Cómo detectarlo y prevenirlo
- Usar un EDR con análisis de memoria y detección de comportamiento.
- Activar el registro de bloques de script de PowerShell, AMSI y la auditoría de líneas de comandos.
- Restringir PowerShell con el modo de lenguaje restringido y control de aplicaciones (WDAC, AppLocker).
- Bloquear las macros de Office procedentes de internet y mantener los sistemas actualizados.
