Бесфайловое вредоносное ПО — вредоносный код, который работает в памяти или прячется в легитимных компонентах системы, не сохраняя на диск обычный исполняемый файл.
Как работает бесфайловый вредонос
Классическое вредоносное ПО сбрасывает на диск .exe-файл, который может проверить антивирус. Бесфайловые атаки этого избегают. Типичные приёмы:
- запуск скриптов прямо в памяти через PowerShell, WMI, mshta или rundll32;
- внедрение кода в память легитимных процессов;
- хранение зашифрованной нагрузки в реестре Windows или подписках WMI вместо файлов;
- макросы и эксплойты, которые загружают и исполняют код, не записывая его на диск.
Закрепление обеспечивают ключи автозапуска в реестре, задачи планировщика или подписки WMI, которые после перезагрузки снова запускают код в памяти. Ранние образцы вроде Poweliks и Kovter прятали в реестре всё своё тело. Многие современные атаки фактически бесфайловые, потому что злоумышленники пользуются только встроенными инструментами — этот подход называют Living off the Land.
Почему это важно
Без файла сигнатурным средствам почти нечего обнаруживать, а криминалистические следы исчезают после перезагрузки. Действия выполняют доверенные программы с подписью Microsoft, и они сливаются с обычным администрированием. Поэтому бесфайловые техники популярны и у APT-группировок, и у партнёров вымогателей.
Как обнаружить и предотвратить
- Использовать EDR со сканированием памяти и поведенческим анализом.
- Включить журналирование блоков скриптов PowerShell, AMSI и аудит командных строк.
- Ограничить PowerShell режимом Constrained Language и контролем приложений (WDAC, AppLocker).
- Отключить макросы Office для файлов из интернета и своевременно ставить обновления.
