بدافزار بدون فایل^{(Fileless Malware)} ممکن است برای اکثر افراد یک اصطلاح جدید باشد، اما صنعت امنیت سال هاست که آن را می شناسد. سال گذشته بیش از 140 شرکت در سراسر جهان با این بدافزار بدون فایل مورد حمله قرار گرفتند -^{(Fileless Malware –)} از جمله بانک‌ها، مخابرات و سازمان‌های دولتی. بدافزار بدون فایل^{(Fileless Malware)} ، همانطور که از نامش توضیح می‌دهد، نوعی بدافزار است که دیسک را لمس نمی‌کند یا از هیچ فایلی در فرآیند استفاده نمی‌کند. در چارچوب یک فرآیند مشروع بارگذاری می شود. با این حال، برخی از شرکت‌های امنیتی ادعا می‌کنند که حمله بدون فایل یک باینری کوچک در میزبان در معرض خطر برای شروع حمله بدافزار باقی می‌گذارد. چنین حملاتی در چند سال اخیر افزایش قابل توجهی داشته اند و از حملات بدافزار سنتی خطرناک تر هستند.

حملات بدافزار بدون فایل

حملات بدافزار بدون فایل که به عنوان حملات ^{(Fileless Malware)}غیر^{(Non-Malware attacks)} بدافزاری نیز شناخته می‌شود . آنها از مجموعه ای معمولی از تکنیک ها برای ورود به سیستم شما بدون استفاده از هیچ فایل بدافزار قابل شناسایی استفاده می کنند. در چند سال گذشته، مهاجمان باهوش‌تر شده‌اند و راه‌های مختلفی را برای حمله ایجاد کرده‌اند.

بدافزار^(Fileless) بدون فایل کامپیوترها را آلوده می‌کند و هیچ فایلی روی هارد دیسک محلی باقی نمی‌گذارد و از ابزارهای سنتی امنیتی و پزشکی قانونی کنار می‌زند.

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

بدافزار بدون فایل در حافظه دسترسی تصادفی^{(Random Access Memory)} سیستم رایانه شما قرار دارد و هیچ برنامه آنتی ویروسی حافظه را مستقیماً بررسی نمی کند - بنابراین امن ترین حالت برای مهاجمان است که به رایانه شما نفوذ کنند و تمام داده های شما را سرقت کنند. حتی بهترین برنامه های آنتی ویروس گاهی اوقات بدافزاری را که در حافظه اجرا می شود از دست می دهند.

برخی از آلودگی‌های اخیر بدافزار بدون فایل^{(Fileless Malware)} که سیستم‌های کامپیوتری را در سراسر جهان آلوده کرده‌اند عبارتند از: Kovter ، USB Thief ، PowerSniff ، Poweliks ، PhaseBot ، Duqu2 و غیره.

بدافزار بدون فایل چگونه کار می کند

بدافزار بدون فایل زمانی که به حافظه^(Memory) می‌رسد می‌تواند ابزارهای داخلی و مدیریتی ویندوز داخلی شما مانند ^(Windows)PowerShell ، SC.exe ، و netsh.exe را برای اجرای کدهای مخرب و دسترسی ادمین به سیستم شما، به گونه‌ای که حمل می‌کند، مستقر کند. دستورات را حذف کنید و اطلاعات شما را بدزدید. بدافزار بدون فایل گاهی اوقات ممکن است در ^{(Fileless Malware)}Rootkits یا رجیستری^(Registry) سیستم عامل ویندوز نیز پنهان شود.

پس از ورود، مهاجمان از حافظه پنهان Windows Thumbnail برای مخفی کردن مکانیسم بدافزار استفاده می کنند. با این حال، بدافزار هنوز برای ورود به کامپیوتر میزبان به یک باینری ثابت نیاز دارد و ایمیل رایج‌ترین رسانه‌ای است که برای آن استفاده می‌شود. هنگامی که کاربر روی پیوست مخرب کلیک می کند، یک فایل payload رمزگذاری شده در رجیستری ویندوز^{(Windows Registry)} می نویسد .

بدافزار^{(Fileless Malware)} بدون فایل همچنین به استفاده از ابزارهایی مانند Mimikatz و Metaspoilt برای تزریق کد به حافظه رایانه شخصی شما و خواندن داده های ذخیره شده در آنجا معروف است. این ابزارها به مهاجمان کمک می کند تا به عمق رایانه شما نفوذ کنند و تمام داده های شما را بدزدند.

تجزیه و تحلیل رفتار و بدافزار بدون^(Fileless) فایل

از آنجایی که اکثر برنامه های آنتی ویروس معمولی از امضا برای شناسایی یک فایل بدافزار استفاده می کنند، شناسایی بدافزار بدون فایل دشوار است. بنابراین، شرکت های امنیتی از تجزیه و تحلیل رفتاری برای شناسایی بدافزار استفاده می کنند. این راه حل امنیتی جدید برای مقابله با حملات و رفتار قبلی کاربران و رایانه ها طراحی شده است. هر گونه رفتار غیرعادی که به محتوای مخرب اشاره می کند، سپس با هشدار اطلاع رسانی می شود.

هنگامی که هیچ راه حل نقطه پایانی نمی تواند بدافزار بدون فایل را شناسایی کند، تجزیه و تحلیل رفتاری هرگونه رفتار غیرعادی مانند فعالیت مشکوک ورود به سیستم، ساعات کاری غیرمعمول یا استفاده از هر منبع غیر معمول را شناسایی می کند. این راه حل امنیتی داده های رویداد را در طول جلساتی که کاربران از هر برنامه ای استفاده می کنند، وب سایت را مرور می کنند، بازی می کنند، با رسانه های اجتماعی تعامل می کنند و غیره می گیرد.

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

نحوه محافظت و شناسایی بدافزارهای بدون فایل^{(Fileless Malware)}

اقدامات احتیاطی اولیه را برای ایمن کردن رایانه ویندوز خود^{(precautions to secure your Windows computer)} دنبال کنید :

• ^(Apply)تمام آخرین به روز رسانی های ویندوز -^{(Windows Updates –)} به خصوص به روز رسانی های امنیتی را برای سیستم عامل خود اعمال کنید.
• اطمینان^(Make) حاصل کنید که تمام نرم افزارهای نصب شده شما وصله شده و به آخرین نسخه خود به روز شده است
• از یک محصول امنیتی خوب استفاده کنید که بتواند حافظه رایانه شما را به طور موثر اسکن کند و همچنین صفحات وب مخربی را که ممکن است میزبان Exploit^(Exploits) باشند را مسدود کند . باید نظارت بر رفتار^(Behavior) ، اسکن حافظه و محافظت از ^(Memory)بخش راه‌اندازی^{(Boot Sector)} را ارائه دهد .
• قبل از دانلود هرگونه پیوست ایمیل^{(downloading any email attachments)} مراقب باشید . این برای جلوگیری از بارگیری بار است.
• از یک فایروال^(Firewall) قوی استفاده کنید که به شما امکان می دهد ترافیک شبکه^(Network) را به طور موثر کنترل کنید.

در ادامه بخوانید^{(Read next)} : حملات Living Off The Land^{(Living Off The Land attacks)} چیست؟

Fileless Malware Attacks, Protection and Detection

Fileless Malware may be a new term for most but the security industry has known it for years. Last year over 140 enterprises worldwide were hit with this Fileless Malware – including banks, telecoms, and government organizations. Fileless Malware, as the name explains is a kind of malware that doesn’t touch the disk or use any files in the process. It gets loaded in the context of a legitimate process. However, some security firms claim that the fileless attack leaves a small binary in the compromising host to initiate the malware attack. Such attacks have seen a significant rise in last few years and they are riskier than the traditional malware attacks.

Fileless Malware attacks

Fileless Malware attacks also known as Non-Malware attacks. They use a typical set of techniques to get into your systems without using any detectable malware file. In the past few years, the attackers have become smarter and have developed many different ways to launch the attack.

Fileless malware infects the computers leaving behind no file on the local hard drive, sidestepping the traditional security and forensics tools.

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

The fileless malware resides in the Random Access Memory of your computer system, and no antivirus program inspects the memory directly – so it is the safest mode for the attackers to intrude in your PC and steal all your data. Even the best antivirus programs sometimes miss the malware running in the memory.

Some of the recent Fileless Malware infections that have infected computer systems worldwide are – Kovter, USB Thief, PowerSniff, Poweliks, PhaseBot, Duqu2, etc.

How does Fileless Malware work

The fileless malware when it lands into the Memory can deploy your native and system administrative Windows built-in tools like PowerShell, SC.exe, and netsh.exe to run the malicious code and get the admin access to your system, so as to carry out the commands and steal your data. Fileless Malware sometime may also hide in Rootkits or the Registry of the Windows operating system.

Once in, the attackers use the Windows Thumbnail cache to hide the malware mechanism. However, the malware still needs a static binary to enter the host PC, and email is the most common medium used for the same. When the user clicks on the malicious attachment, it writes an encrypted payload file in the Windows Registry.

Fileless Malware is also known to use tools like Mimikatz and Metaspoilt to inject the code into your PC’s memory and read the data stored there. These tools help the attackers to intrude deeper into your PC and steal all your data.

Behavioral analytics and Fileless malware

Since most of the regular antivirus programs use signatures to identify a malware file, the fileless malware is hard to detect. Thus, security firms use behavioral analytics to detect malware. This new security solution is designed to tackle the previous attacks and behavior of the users and computers. Any abnormal behavior which points to malicious content is then notified with alerts.

When no endpoint solution can detect the fileless malware, behavioral analytics detects any anomalous behavior such as suspicious login activity, unusual working hours or use of any atypical resource. This security solution captures the event data during the sessions where users use any application, browse a website, play games, interacts on social media, etc.

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

How to protect against & detect Fileless Malware

Follow the basic precautions to secure your Windows computer:

• Apply all the latest Windows Updates – especially the security updates to your operating system.
• Make sure that all your installed software is patched and updated to their latest versions
• Use a good security product that can efficiently scan your computer’s memory and also block malicious web pages that may be hosting Exploits. It should offer Behavior monitoring, Memory scanning, and Boot Sector protection.
• Be careful before downloading any email attachments. This is to avoid downloading the payload.
• Use a strong Firewall that lets you effectively control Network traffic.

Read next: What are Living Off The Land attacks?

Related posts

• DLL Hijacking Vulnerability Attacks، Prevention & Detection

• چگونه برای جلوگیری از Phishing Scams and Attacks؟

• Access Trojan از راه دور چیست؟ پیشگیری، Detection & Removal

• Cyber Attacks - تعریف، Types، پیشگیری

• Crystal Security مبتنی بر Malware Detection Tool مبتنی بر Cloud رایگان است

• نکاتی برای محافظت از کامپیوتر شما در برابر Thunderspy attack

• بهترین اسکنرهای ویروس و بدافزار با ضمانت از بین بردن هر گونه ویروس

• چگونه برای بررسی اگر یک فایل مخرب است یا نه بر روی ویندوز 11/10

• ماژول مورد نظر می تواند خطا در ویندوز 10 یافت می شود

• چگونه می توان یک computer virus، تروجان، کار، spyware or malware می کنید؟

• چگونه به استفاده از Malware Scanner & Cleanup Tool داخلی Chrome browser است

• Malware Removal Tools رایگان برای حذف Specific Virus در Windows 11/10

• IDP.Generic and How به راحتی آن را از Windows حذف کنید؟

• چگونه Malware را از کامپیوتر خود در Windows 10 حذف کنید

• چگونه به استفاده از Malwarebytes Anti-Malware به حذف Malware

• Microsoft چگونه Malware & Potentially برنامه های ناخواسته را شناسایی می کند

• Remove virus از USB Flash Drive با استفاده از Command Prompt or Batch File

• چگونه به حذف Malware From Android Phone

• از راه دور Administration Tools: خطرات، Threats، Prevention

• Bundleware: تعریف، Prevention، Removal Guide