Безфайловые вредоносные программы и методы работы в памяти

Безфайловое вредоносное ПО выполняется полностью в памяти, не записывая исполняемые файлы на диск. Оно использует легитимные инструменты OS, среды интерпретаторов (PowerShell, WScript) и внедрение в память, работая при этом с минимальным количеством криминалистических артефактов, которые могут обнаружить традиционные AV и сканирование на основе файлов.

PowerShell позволяет загружать и выполнять код: IEX (Invoke-Expression) загружает и запускает скрипты непосредственно из интернета, не записывая их на диск. Методы обфускации (замена символов, кодирование Base64, объединение строк) обходят сигнатурное обнаружение вредоносного содержимого скриптов.

LOLBins — это легитимные двоичные файлы Windows, которые можно использовать для атак: certutil.exe (загрузка файлов), mshta.exe (выполнение скриптов HTA), regsvr32.exe (выполнение удалённых объектов COM), wmic.exe (выполнение команд) и PowerShell (для чего угодно). Они предустановлены, подписаны и часто разрешены в списках.

Классическое внедрение: VirtualAllocEx → WriteProcessMemory → CreateRemoteThread. Опустошение процесса: запустите приостановленный легитимный процесс, удалите его код из памяти и замените вредоносным кодом. Внедрение DLL через SetWindowsHookEx или AppInit_DLLs. Все эти методы выполняют вредоносный код внутри доверенных процессов.

Отражательное внедрение DLL загружает DLL из памяти без использования загрузчика Windows и без обращения к диску. DLL содержит собственный мини-загрузчик, который разрешает импорты и перемещает сам себя. Meterpreter использует отражательную загрузку, поэтому на диске не остаётся файла DLL.

Опустошение процесса создаёт легитимный процесс (svchost.exe) в приостановленном состоянии, удаляет его исходный исполняемый файл из памяти, отображает вредоносный исполняемый файл в том же адресном пространстве, а затем возобновляет выполнение. В диспетчере задач процесс выглядит легитимным, но выполняет вредоносный код.

Интерфейс защиты от вредоносных программ Microsoft (AMSI) перехватывает скрипты PowerShell для проверки средствами AV. Атакующие обходят AMSI, изменяя в памяти AmsiScanBuffer() так, чтобы он всегда возвращал чистый результат, или обфусцируя скрипты ниже порогов обнаружения AMSI. Само изменение AMSI может быть обнаружено EDR.

Безфайловое вредоносное ПО обнаруживается по поведению, а не по наличию файла: создание PowerShell сетевых подключений, неожиданные дочерние процессы приложений Office, области памяти с разрешениями на выполнение, но без файла-носителя (malfind), и аргументы командной строки системных двоичных файлов, содержащие закодированное содержимое.

Трассировка событий Windows (ETW) предоставляет платформам EDR подробные данные телеметрии: журналирование блоков скриптов сохраняет декодированный PowerShell-код, журналирование модулей записывает загруженные DLL, фиксируются создание процессов с полными командными строками и события сетевых подключений. Поставщикам ETW трудно отключить их без вызова оповещений.

Volatility malfind выявляет подозрительные области исполняемой памяти. Строки в памяти процесса могут раскрывать адреса C2 или встроенные скрипты. При опустошении процесса исходный образ процесса удаляется из памяти — это можно обнаружить, сравнив карту памяти процесса с исходным исполняемым файлом на диске.

Включите журналирование блоков скриптов PowerShell (ID события 4104) и журналирование модулей, чтобы записывать всё декодированное содержимое скриптов. Режим ограниченного языка PowerShell ограничивает опасные операции. Белый список приложений WDAC не позволяет непроверенным сочетаниям системных двоичных файлов выполнять вредоносные скрипты.

Почему безфайловое вредоносное ПО сложнее обнаружить, чем традиционное?

Безфайловое вредоносное ПО злоупотребляет PowerShell, LOLBins и внедрением в процессы, полностью выполняясь в памяти. Защита от него требует журналирования блоков скриптов, поведенческого анализа на платформах EDR, применения AMSI, составления белых списков приложений и инструментов анализа памяти, таких как Volatility, для выявления внедрённого кода.