Malware Fileless e Técnicas de Execução na Memória

O software malicioso sem arquivos é executado inteiramente na memória, sem gravar arquivos executáveis no disco. Ele utiliza ferramentas legítimas do OS, ambientes de interpretação (PowerShell, WScript) e injeção na memória para operar deixando o mínimo de artefatos forenses detectáveis pelo AV tradicional e pela varredura baseada em arquivos.

O PowerShell permite padrões de baixar e executar: o IEX (Invoke-Expression) baixa e executa scripts diretamente da Internet sem tocar no disco. Técnicas de ofuscação (substituição de caracteres, base64 e concatenação de cadeias de caracteres) contornam a detecção baseada em assinaturas do conteúdo malicioso dos scripts.

Os LOLBins são binários legítimos do Windows que podem ser armamentizados: certutil.exe (baixar arquivos), mshta.exe (executar scripts HTA), regsvr32.exe (executar objetos COM remotos), wmic.exe (executar comandos) e PowerShell (praticamente tudo). Eles já vêm instalados, são assinados e frequentemente estão na lista de permissões.

Injeção clássica: VirtualAllocEx → WriteProcessMemory → CreateRemoteThread. Esvaziamento de processo: iniciar um processo legítimo suspenso, remover seu código da memória e substituí-lo por código malicioso. Injeção de DLL por meio de SetWindowsHookEx ou AppInit_DLLs. Todas essas técnicas executam código malicioso dentro de processos confiáveis.

A injeção reflexiva de DLL carrega uma DLL da memória sem usar o carregador do Windows nem tocar no disco. A DLL contém seu próprio minicarrregador, que resolve as importações e realoca a si mesmo. O Meterpreter usa carregamento reflexivo, razão pela qual não deixa nenhum arquivo DLL no disco.

O esvaziamento de processo cria um processo legítimo (svchost.exe) em estado suspenso, remove da memória o executável original, mapeia um executável malicioso no mesmo espaço de endereçamento e, em seguida, retoma a execução. O processo parece legítimo no gerenciador de tarefas, mas executa código malicioso.

A Interface de Verificação Antimalware da Microsoft (AMSI) intercepta scripts do PowerShell para a verificação pelo AV. Os invasores contornam o AMSI corrigindo AmsiScanBuffer() na memória para sempre retornar um resultado limpo ou ofuscando scripts abaixo dos limites de detecção do AMSI. A correção do AMSI pode ser detectada pelo EDR.

O software malicioso sem arquivos é detectado por seu comportamento, não pela presença de arquivos: PowerShell criando conexões de rede, processos filhos inesperados de aplicativos do Office, regiões de memória com permissões de execução mas sem um arquivo associado (malfind) e argumentos de linha de comando de LOLBins contendo conteúdo codificado.

O Rastreamento de Eventos do Windows (ETW) fornece telemetria detalhada para plataformas de EDR: o registro de blocos de script captura o PowerShell decodificado, o registro de módulos registra as DLLs carregadas, a criação de processos inclui as linhas de comando completas e os eventos de conexão de rede são registrados. É difícil para um software malicioso desativar os provedores de ETW sem disparar alertas.

O malfind do Volatility identifica regiões suspeitas de memória executável. As cadeias de caracteres na memória do processo podem revelar URLs de C2 ou scripts incorporados. O esvaziamento de processo deixa a imagem original do processo sem mapeamento — algo detectável pela comparação do mapa de memória do processo com o executável original no disco.

Ative o registro de blocos de script do PowerShell (ID de evento 4104) e o registro de módulos para capturar todo o conteúdo decodificado dos scripts. O modo de linguagem restrita do PowerShell limita operações perigosas. A lista de permissões de aplicativos do WDAC impede a execução de combinações não aprovadas de LOLBins para executar scripts maliciosos.

O que torna o software malicioso sem arquivos mais difícil de detectar do que o software malicioso tradicional?

O software malicioso sem arquivos abusa do PowerShell, de LOLBins e da injeção de processos para executar-se inteiramente na memória. A defesa contra ele exige registro de blocos de script, análise comportamental de plataformas de EDR, aplicação do AMSI, lista de permissões de aplicativos e ferramentas de análise forense da memória, como o Volatility, para identificar código injetado.