Malware sin archivos y técnicas Living-in-Memory

El malware fileless se ejecuta íntegramente en memoria sin escribir archivos ejecutables en el disco. Utiliza herramientas legítimas del sistema operativo, entornos de intérprete (PowerShell, WScript) e inyección en memoria para operar dejando unos artefactos forenses mínimos, que los antivirus tradicionales y el análisis basado en archivos detectan con dificultad.

PowerShell permite patrones de descarga y ejecución: IEX (Invoke-Expression) descarga y ejecuta scripts directamente desde Internet sin tocar el disco. Las técnicas de ofuscación (sustitución de caracteres, base64 y concatenación de cadenas) evitan la detección basada en firmas del contenido malicioso de los scripts.

Los LOLBins son binarios legítimos de Windows que pueden utilizarse con fines maliciosos: certutil.exe (descargar archivos), mshta.exe (ejecutar scripts HTA), regsvr32.exe (ejecutar objetos COM remotos), wmic.exe (ejecutar comandos) y PowerShell (prácticamente cualquier acción). Vienen preinstalados, están firmados y a menudo figuran en listas de permitidos.

Inyección clásica: VirtualAllocEx → WriteProcessMemory → CreateRemoteThread. Process hollowing: iniciar un proceso legítimo suspendido, desasignar su código y reemplazarlo por código malicioso. Inyección de DLL mediante SetWindowsHookEx o AppInit_DLLs. Todas estas técnicas ejecutan código malicioso dentro de procesos de confianza.

La inyección reflectiva de DLL carga una DLL desde la memoria sin utilizar el cargador de Windows ni tocar el disco. La DLL contiene su propio mini-cargador, que resuelve las importaciones y se reubica. Meterpreter utiliza carga reflectiva, por lo que no deja ningún archivo DLL en el disco.

Process hollowing crea un proceso legítimo (svchost.exe) en estado suspendido, desasigna de la memoria su ejecutable original, asigna un ejecutable malicioso en el mismo espacio de direcciones y reanuda la ejecución. El proceso parece legítimo en el administrador de tareas, pero ejecuta código malicioso.

Antimalware Scan Interface (AMSI) de Microsoft intercepta los scripts de PowerShell para que los analice el antivirus. Los atacantes evitan AMSI modificando en memoria AmsiScanBuffer() para que siempre devuelva un resultado limpio o mediante la ofuscación de scripts por debajo de los umbrales de detección de AMSI. La modificación de AMSI puede ser detectada por EDR.

El malware fileless se detecta mediante su comportamiento, no por la presencia de archivos: PowerShell estableciendo conexiones de red, procesos secundarios inesperados de aplicaciones de Office, regiones de memoria con permisos de ejecución pero sin un archivo asociado (malfind) y argumentos de línea de comandos de LOLBins que contienen contenido codificado.

Windows Event Tracing (ETW) proporciona telemetría detallada a las plataformas EDR: Script Block Logging captura el contenido descodificado de PowerShell, Module Logging registra las DLL cargadas, la creación de procesos con líneas de comandos completas y los eventos de conexiones de red. A los proveedores de ETW les resulta difícil desactivarlos al malware sin activar alertas.

malfind de Volatility identifica regiones de memoria ejecutables sospechosas. Las cadenas de texto de la memoria de los procesos pueden revelar URL de C2 o scripts incrustados. Process hollowing deja sin asignar la imagen del proceso original, lo que puede detectarse comparando el mapa de memoria del proceso con el ejecutable original del disco.

Active Script Block Logging de PowerShell (Event ID 4104) y Module Logging para capturar todo el contenido descodificado de los scripts. PowerShell Constrained Language Mode restringe las operaciones peligrosas. La lista de permitidos de aplicaciones de WDAC impide que se ejecuten combinaciones no aprobadas de LOLBins para ejecutar scripts maliciosos.

¿Qué hace que el malware fileless sea más difícil de detectar que el malware tradicional?

El malware fileless abusa de PowerShell, los LOLBins y la inyección de procesos para ejecutarse íntegramente en memoria. Para defenderse de él se necesitan Script Block Logging, análisis de comportamiento de las plataformas EDR, aplicación de AMSI, listas de permitidos de aplicaciones y herramientas de análisis forense de memoria como Volatility para identificar código inyectado.