What is Fileless Malware?

運作方式

大多數應用程式和基於檔案的惡意軟體都是以寫入磁碟的檔案開始的。執行該文件時，副本將加載到內存中，並執行程序的命令。 無檔案惡意軟體跳過寫入磁碟的步驟，僅存在於記憶體中。

可以實現這一點的一些方法包括：

• 靠土地為生：惡意軟體執行的許多操作都可以透過合法的系統功能來完成。無檔案惡意軟體通常使用 PowerShell 來存取通常在惡意執行檔中使用的內建 Windows 應用程式開發介面功能。
• 惡意文件：Microsoft Office 文件可能包含使用 PowerShell 執行命令的惡意巨集。 這可能包括下載並運行其他惡意軟體而不將其寫入磁碟。
• 脆弱性利用：應用程式可能包含緩衝區溢位或其他遠端程式碼執行（RCE）脆弱性。透過利用這種脆弱性，攻擊者可以在易受攻擊的進程中執行惡意命令，而無需向磁碟寫入任何內容。
• 程序劫持：一旦文件加載到內存中，可以修改其內存空間。 惡意軟體可以將程式碼寫入現有進程的記憶體空間，並在該進程中啟動其惡意功能。
• 基於註冊表的惡意軟體： Windows 註冊表包含 Windows 作業系統的設定訊息，包括自動運行。無檔案惡意軟體可以定義自動執行，在系統啟動時或使用者登入時透過 LoLBins 啟動惡意程式碼。

無檔案攻擊的階段

無檔案惡意軟體攻擊看起來與基於檔案的惡意軟體攻擊非常相似。一些關鍵階段包括：

1. 初步存取：惡意軟體需要一種方法來存取組織的系統。無文件惡意軟體可能透過網路釣魚或利用易受攻擊的網路應用程式傳遞惡意文件。
2. 執行：無檔案惡意軟體可以透過多種方式實現程式碼執行。例如，惡意文件可能會使用社交工程技術來欺騙收件者啟用巨集，從而允許惡意巨集執行 PowerShell 命令。
3. 持久性：一旦惡意軟體獲得對目標系統的存取權限，它就會想要維持該存取權限。將自動執行密鑰添加到 Windows 註冊表是實現持久性的一種常見方法，而無需將代碼寫入磁盤即可完成。
4. 目標：惡意軟體旨在完成某些任務。無檔案惡意軟體可能會嘗試竊取憑證、加密檔案、下載其他惡意軟體或執行某些其他惡意活動。

Check Point 的 Harmony Suite 與 XDR 平台

無檔案惡意軟體是組織面臨的多種威脅之一。要了解有關當前網路威脅情勢的更多信息，請查看 Check Point 的2022 年年中網路攻擊趨勢報告。

Implementing defense in depth is essential to managing the risk of sophisticated malware and other leading cyber threats. Check Point Infinity XDR provides centralized visibility and threat management across an organization’s IT infrastructure, while Harmony Endpoint secures the endpoint.

Find out how Check Point can help improve your organization’s malware defenses. Sign in for a free demo of Harmony Endpoint today.