Безфайлове шкідливе ПЗ — шкідливий код, який працює в пам’яті або ховається в легітимних компонентах системи, не зберігаючи на диск звичайний виконуваний файл.
Як працює безфайлове шкідливе ПЗ
Класичне шкідливе ПЗ скидає на диск .exe-файл, який може перевірити антивірус. Безфайлові атаки цього уникають. Типові прийоми:
- запуск скриптів просто в пам’яті через PowerShell, WMI, mshta чи rundll32;
- впровадження коду в пам’ять легітимних процесів;
- зберігання зашифрованого навантаження в реєстрі Windows або підписках WMI замість файлів;
- макроси й експлойти, які завантажують і виконують код, не записуючи його на диск.
Закріплення забезпечують ключі автозапуску в реєстрі, завдання планувальника чи підписки WMI, які після перезавантаження знову запускають код у пам’яті. Ранні зразки на кшталт Poweliks і Kovter ховали в реєстрі все своє тіло. Багато сучасних атак фактично безфайлові, бо зловмисники користуються лише вбудованими інструментами — цей підхід називають Living off the Land.
Чому це важливо
Без файлу сигнатурним засобам майже нічого виявляти, а криміналістичні сліди зникають після перезавантаження. Дії виконують довірені програми з підписом Microsoft, і вони зливаються зі звичайним адмініструванням. Тому безфайлові техніки популярні й в APT-угруповань, і в партнерів вимагачів.
Як виявити й запобігти
- Використовувати EDR зі скануванням пам’яті та поведінковим аналізом.
- Увімкнути журналювання блоків скриптів PowerShell, AMSI та аудит командних рядків.
- Обмежити PowerShell режимом Constrained Language і контролем застосунків (WDAC, AppLocker).
- Вимкнути макроси Office для файлів з інтернету й вчасно встановлювати оновлення.
