Fileless Malware: Definition/Erkennung/Affekt/Entfernung

Was ist Fileless Malware?

Fileless Malware ist eine Variante computerbezogener bösartiger Software, die beispielsweise ausschließlich als speicherbasierter Artefakt, Random-Access-Speicher (RAM) existiert.

Fileless Malware-Erkennung

Was Fileless Infektionen so heimtückisch macht, macht sie auch so effektiv. Es gibt auch Sprüche, dass Fileless Malware „nicht nachweisbar“ ist. Es ist buchstäblich nicht wahr; Dies bedeutet nur, dass keine Archivinfektion nicht durch Antivirus, weiße Liste und andere traditionelle Endpunkt-Sicherheitspläne festgestellt wird.

Wie erkennen Sie bösartige Software ohne Archivierung? Die Fileless Malware schreibt nichts über ihre Aktivitäten in die Festplatten des Computers. Daher ist es sehr resistent gegen vorhandene forensische Strategien für Anti-Computers, einschließlich Hardwareverifizierung, Musteranalyse, Signaturerkennung, Zeitstempel und auf Datei basierenden Whitelists.

Fileless Malware lässt nur sehr wenig Beweise, dass keine digitalen forensischen Forscher ohne Erklärungen zur Identifizierung illegaler Aktivitäten verwenden können. Da diese Art von Malware für den Speicher im Speicher ausgelegt ist, kann sie im Betriebssystem (OS) bestehen, bis das System neu gestartet wird.

Fileless Malware Angriffe

Am 8. Februar 2017 wurde ein vom globaler Forschungs- und Analyse-Team von Kaspersky Lab (Kaspersky Lab) veröffentlichter Bericht „Fileless Attacks Against Enterprise Networks“ mit Fileless Malware und der neuesten Varianten bezeichnet. In dem Bericht heißt es, dass keine böswillige Archiv-Software etwa 140 Unternehmensnetzwerke auf der ganzen Welt infiziert hat, einschließlich Telekommunikationsunternehmen, Regierungsorganisationen und Banken.

Der Bericht zeigt auch, wie eine Fileless Malware-Variante einen Angriff gegen einen Zielcomputer ausführt, der sich auf PowerShell-Skripte stützt, die sich innerhalb der Windows-Registrierung befinden. Es nutzt ein gemeinsames Angriffsgerüst mit dem Namen Metasploit mit unterstützenden Angriffstools wie Mimikatz und Standard-Windows-Dienstprogrammen wie „NETSH“ und „SC“, um die laterale Bewegung zu unterstützen.

Diese Fileless Malware wurde erst gefunden, nachdem eine Bank den Metasploit-Meterpreter-Code identifiziert hatte, der im physischen Speicher auf einem zentralen Domänencontroller (DC) ausgeführt wurde.

Zusätzlich zu Kaspersky haben viele andere Computersicherheitspläne Malware ohne Archive wie MacAfee, Symantec, Trend Micro, Cyberason ...

Fileless Malware VS. In-Memory-Malware

Manchmal wird Fileless Malware als Synonym für In-Memory-Malware angesehen, die beide ihre Hauptfunktionen implementieren, ohne Daten innerhalb des gesamten Lebens ihres Betriebs auf Festplatten zu schreiben.

Daher denken einige Leute, dass diese Variante nicht nur eine Neudefinition des gut bekannten „Gedächtnisbewohner-Virus“ ist, und sein Spektrum kann in den 1980er Jahren auf die Geburt des Lehigh-Virus (1980er Jahre) zurückgeführt werden, das vom Oderator entwickelt wurde. In seiner Amtszeit ist Fred Cohen (Fred Cohen) und ist berühmt für seine Dissertation.

Um genau zu sein, ist die „Fileless Malware“ jedoch nicht die Synonymie von „In-Memory-Malware“, obwohl sie dieselbe Ausführungsumgebung haben-Systemspeicher. Sie haben Differenzierung. Der größte Unterschied zwischen Fileless Malware und Memory-Malware ist die Methode der Inception und Verlängerung.

Die Infektionsvektoren der meisten Malware schreiben etwas für die Festplatte, damit sie sich selbst ausführen können. Der Ursprung von Malware kann von der Form externer Mediengeräte wie USB-Flash-Treiber, Mobiltelefonen, Zubehör, Seitenkanälen, Browser-Laufwerken usw. abhängen.

Entweder Malware in Memory oder Memory Residenten muss in irgendeiner Form Kontakt mit den Festplatten im Host-Computer haben. Selbst wenn die unsichtbarste Anti-Law-Methode angewendet wird, bleibt eine Form von Infektionsresten auf dem Festplattenantrieb.

Was die böswillige Software ohne Archivierung betrifft, von der Einrichtung bis zur Kündigung (normalerweise durch das System starten), wird ihr Zweck niemals auf dem Festplattenlaufwerk geschrieben. Fileless Malware zielt darauf ab, in volatilen OS-Bereichen wie In-Memory-Prozesse, Registrierung und Dienstleistungsbereichen zu leben.

Wie funktioniert Fileless Malware?

Fileless Malware ist ein evolutionärer Virusstamm. Es wird ein stabiles Selbstverbesserungs- oder Selbstoptimierungsmodell verwendet und zu einer klaren Definition und einer zentralisierten Angriffslösung fährt. Die Wurzel kann auf das virtuelle Programm der Bewohner des Gedächtnisses zurückgeführt werden (terminate-and-stay-resident).

Sobald diese virtuellen Programme gestartet wurden, befindet sich die Fileless Malware im Speicher auf einen System-Interrupt, bevor er Zugriff auf ihren Steuerfluss erhält. Es gibt einige Fileless Malware-Beispiele wie Dard Avenger, Anzahl des Tieres und Frodo.

Fileless Malware Common Technologies/Typen

• Memory-only malware
• Registry resident malware
• Fileless ransomware
• Exploit kits
• Steal credentials
• Hijack native programs

Diese Technologien entwickelten sich durch temporäre Gedächtnisviren; Monxla und Anthrax sind berühmt für die Einführung dieser Techniken. Diese Technologien übernehmen ihre wahrere „Fileless“ Natur durch in Memory injizierte Netzwerkwürmer oder Viren wie Slammer und Codeed.

Fileless Malware-Angriffsprozess

Fileless Angriffe gehören zu niedrig beobachtbaren Merkmalen (LOC)-Angriffen, bei denen es sich um eine Art Stealth-Angriff handelt, der die Erkennung durch die meisten Anti-Malware entzieht und forensische Analyseanstrengungen frustriert. Anstatt in gemeinsamen Festplattendateien zu arbeiten, arbeitet Fileless Malware im Computerspeicher.

Ohne direkt auf dem Host zu installieren oder in einer Datei enthalten zu sein, gehen Fileless Viren direkt in den Systemspeicher ein. Durch Hacking PowerShell kann es auf fast alles in Windows zugreifen.

Im Folgenden finden Sie einen Beispielprozess für Fileless Angriffe:

Schritt 1. Der Benutzer klickt auf einen Link in Spam-E-Mail.

Schritt 2. Die Website lädt Blitz und löst Exploit aus.

Schritt 3. Shellcode führt PowerShell mit CMD-Zeile aus, um die Nutzlast nur im Speicher herunterzuladen und auszuführen.

Schritt 4. Laden Sie eine In-Memory-Ausführung herunter und laden Sie den Code reflektierend. Die Nutzlast kann Peeltration, Schaden usw. durchführen.

Schritt 5. Erstellen Sie ein automatisches Register, um PowerShell mit einer CMD-Linie aufzurufen.

Fileless Malware- Verbreitungsprozess

Fileless Angriffe werden typischerweise für die laterale Bewegung verwendet. Sie verbreiten sich von einem Computer zum anderen, um Zugriff auf wertvolle Daten im gesamten Unternehmensnetzwerk zu erhalten.