Malware sem arquivos e ataques de aproveitamento de recursos nativos

O malware tradicional grava arquivos executáveis no disco, dando ao antivírus baseado em assinaturas uma oportunidade de examiná-los e detectá-los. O malware sem arquivos opera inteiramente na memória — ou abusa de ferramentas legítimas já instaladas —, não deixando arquivos tradicionais de malware para o AV encontrar. Isso reduz drasticamente as taxas de detecção por ferramentas baseadas em assinaturas. Fornecedores de segurança relatam que ataques de malware sem arquivos têm probabilidade 10 vezes maior de sucesso do que ataques baseados em arquivos. O assalto ao Bangladesh Bank em 2016, as variantes do Petya/NotPetya de 2017 e inúmeras intrusões de Estados-nação usaram técnicas sem arquivos para manter a persistência e evitar a detecção.

Os ataques de uso do ambiente legítimo (LotL) utilizam ferramentas e utilitários legítimos já presentes no sistema da vítima para realizar ações maliciosas. Essas ferramentas — PowerShell, WMI, certutil, mshta, regsvr32 e rundll32 — são consideradas confiáveis pelo sistema operacional e pelos softwares de segurança porque têm finalidades legítimas. Um invasor que usa exclusivamente ferramentas integradas pode se misturar às atividades administrativas normais. O desafio para os defensores é distinguir o uso malicioso dessas ferramentas do trabalho administrativo legítimo. Por isso, a análise comportamental e a compreensão do contexto são mais eficazes do que a detecção por assinaturas para as técnicas LotL.

O PowerShell é a ferramenta LotL mais abusada porque oferece acesso a toda a estrutura .NET, ao WMI e às APIs do Windows, deixando poucos rastros quando executado na memória. Os invasores baixam scripts do PowerShell diretamente para a memória sem gravá-los no disco, codificam comandos em Base64 para ofuscá-los do logging e usam recursos como reflexão para carregar assemblies .NET na memória. As estruturas Empire e Cobalt Strike dependem muito do PowerShell após a exploração. As defesas incluem o PowerShell Constrained Language Mode, o ScriptBlock Logging (que registra o conteúdo decodificado dos scripts), o Module Logging e a restrição, por meio da Política de Grupo, de quem pode executar o PowerShell.

O WMI (Windows Management Instrumentation) é um recurso avançado do Windows para gerenciamento do sistema que os invasores abusam para obter persistência e realizar movimento lateral. Uma assinatura de eventos do WMI aciona um comando quando ocorre um evento especificado (como a cada 5 minutos, no logon ou quando um processo específico é iniciado). Essas assinaturas sobrevivem às reinicializações, são armazenadas no repositório do WMI e não aparecem como tarefas agendadas tradicionais nem como chaves de execução do registro — evitando muitas ferramentas de detecção de persistência. Os invasores também podem usar o WMI para executar processos em sistemas remotos por meio do DCOM (porta 135), permitindo o movimento lateral sem compartilhamentos de rede.

A injeção de processos permite que o malware execute código malicioso no espaço de endereçamento de um processo legítimo e confiável (explorer.exe, svchost.exe, notepad.exe). O código malicioso herda os privilégios e a identidade do processo, fazendo com que as conexões de rede pareçam vir de um aplicativo confiável. As técnicas comuns de injeção incluem injeção de DLL (carregamento de uma DLL maliciosa em outro processo), esvaziamento de processo (criação de um processo suspenso, desmapeamento de seu código e substituição por código malicioso) e injeção reflexiva de DLL (carregamento de uma DLL diretamente da memória sem gravá-la no disco). As ferramentas de EDR detectam injeções monitorando sequências de chamadas de API (OpenProcess, VirtualAllocEx, WriteProcessMemory, CreateRemoteThread).

Muitas cadeias de ataque sem arquivos começam com um documento malicioso do Office que contém macros VBA. Quando o usuário abre o documento e habilita as macros (geralmente atraído por uma mensagem como “Enable Content to view this document”), a macro executa o PowerShell para baixar e executar uma carga útil diretamente na memória. A carga útil nunca toca o disco — somente o documento original do Office o faz. Por isso, o exame Security+ enfatiza a desativação de macros e a implantação de regras ASR (Redução da Superfície de Ataque). Estruturas modernas de phishing do tipo invasor no meio (como Evilginx2) também entregam documentos maliciosos após a captura de credenciais para implantar RATs.

AMSI (Antimalware Scan Interface) é uma API do Windows que permite que aplicativos (PowerShell, VBScript, JScript, Office) enviem conteúdo ao mecanismo antivírus instalado para verificação em tempo de execução — mesmo antes de o conteúdo ser gravado no disco. A AMSI permite que fornecedores de AV verifiquem conteúdo de scripts que, de outra forma, seria invisível para a verificação baseada em arquivos. Os invasores tentam contornar a AMSI corrigindo o amsi.dll na memória para retornar o resultado “limpo” para todos os envios ou ofuscando o conteúdo dos scripts para evitar a correspondência de assinaturas. As ferramentas de EDR monitoram tentativas de correção da AMSI como um indicador de atividade de ataque sem arquivos.

Detectar malware sem arquivos exige mudar da detecção baseada em arquivos para o monitoramento comportamental. As principais estratégias de detecção incluem: o PowerShell ScriptBlock Logging captura o conteúdo decodificado dos scripts mesmo quando eles estão codificados na linha de comando; o Sysmon registra a criação de processos com linhas de comando completas, conexões de rede com atribuição de processos e modificações no registro; as regras comportamentais de EDR geram alertas sobre relações suspeitas entre processos (Word iniciando o PowerShell, PowerShell iniciando o cmd, certutil baixando executáveis); e o Windows Event Forwarding envia esses registros para um SIEM centralizado, permitindo correlação e retenção de longo prazo.

As organizações podem reduzir a superfície de ataque LotL restringindo quais usuários podem executar ferramentas avançadas. O PowerShell Constrained Language Mode limita chamadas .NET, objetos COM e reflexão dos quais os invasores dependem. O AppLocker e o WDAC (Windows Defender Application Control) podem impedir que Binaries específicos sejam executados por usuários que não são administradores. O projeto LOLBAS cataloga Binaries LotL conhecidos com suas técnicas de ataque, ajudando os defensores a identificar quais Binaries devem ser monitorados ou restringidos. Nem todos os Binaries LotL podem ser bloqueados (muitos são necessários para o funcionamento do sistema operacional), mas é possível monitorar seu uso levando o contexto em consideração.

A estrutura MITRE ATT&CK documenta extensivamente as técnicas sem arquivos e LotL. As principais subtécnicas incluem: T1059.001 (PowerShell), T1047 (execução do WMI), T1055 (injeção de processos), T1140 (desofuscação/decodificação de arquivos), T1003.001 (memória do LSASS para extração de credenciais) e T1546.003 (assinatura de eventos do WMI para persistência). Mapear seus recursos de detecção para essas técnicas usando o ATT&CK Navigator revela lacunas de cobertura e orienta o desenvolvimento de regras do SIEM. A estrutura também fornece orientações de mitigação e detecção para cada técnica.

Uma estratégia de defesa em camadas contra malware sem arquivos inclui: habilitar o logging do PowerShell (ScriptBlock, Module, Transcription), implantar o Sysmon com uma configuração abrangente, implementar a AMSI com um mecanismo de AV atualizado, impor o PowerShell Constrained Language Mode por meio do WDAC, restringir a execução de macros em documentos do Office por meio da Política de Grupo, implantar o EDR com recursos de detecção comportamental e encaminhar todos os registros para um SIEM com regras de detecção para cadeias de processos reconhecidamente maliciosas. A combinação da restrição da superfície de ataque com o aprimoramento da visibilidade torna significativamente mais difícil executar ataques sem arquivos sem ser detectado.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: o malware sem arquivos opera na memória e abusa de ferramentas legítimas do sistema operacional, como PowerShell, WMI e certutil, para evitar a detecção baseada em assinaturas; as técnicas de injeção de processos ocultam código malicioso dentro de processos confiáveis explorando APIs de gerenciamento de memória do Windows; e a detecção comportamental por meio de SIEM, Sysmon e EDR, combinada com o logging do PowerShell e a AMSI, oferece a defesa mais forte contra essas cadeias de ataque que evitam assinaturas. A seguir, exploraremos a varredura de vulnerabilidades em comparação com o teste de penetração.