Ataques, proteção e detecção de malware sem arquivo

Fileless Malware pode ser um novo termo para a maioria, mas o setor de segurança o conhece há anos. No ano passado, mais de 140 empresas em todo o mundo foram atingidas por esse Fileless Malware – incluindo bancos, telecomunicações e organizações governamentais. Fileless Malware , como o nome explica é um tipo de malware que não toca no disco nem usa nenhum arquivo no processo. Ele é carregado no contexto de um processo legítimo. No entanto, algumas empresas de segurança afirmam que o ataque sem arquivo deixa um pequeno binário no host comprometedor para iniciar o ataque de malware. Esses ataques tiveram um aumento significativo nos últimos anos e são mais arriscados do que os ataques de malware tradicionais.

malware sem arquivo

Ataques de malware sem arquivo

Ataques de malware sem arquivo(Fileless Malware) , também conhecidos como ataques não-malware(Non-Malware attacks) . Eles usam um conjunto típico de técnicas para entrar em seus sistemas sem usar nenhum arquivo de malware detectável. Nos últimos anos, os invasores se tornaram mais inteligentes e desenvolveram muitas maneiras diferentes de lançar o ataque.

O(Fileless) malware sem arquivo infecta os computadores não deixando nenhum arquivo no disco rígido local, evitando as ferramentas tradicionais de segurança e forense.

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

O malware sem arquivo reside na memória de acesso aleatório(Random Access Memory) do seu sistema de computador e nenhum programa antivírus inspeciona a memória diretamente - portanto, é o modo mais seguro para os invasores invadirem seu PC e roubarem todos os seus dados. Mesmo os melhores programas antivírus às vezes perdem o malware em execução na memória.

Algumas das infecções recentes do Fileless Malware que infectaram sistemas de computador em todo o mundo são – Kovter , USB Thief , PowerSniff , Poweliks , PhaseBot , Duqu2 , etc.

Como funciona o malware sem arquivo

O malware sem arquivo quando chega à memória(Memory) pode implantar suas ferramentas internas do Windows nativas e administrativas do sistema , como PowerShell , SC.exe e netsh.exe , para executar o código malicioso e obter o acesso de administrador ao seu sistema, de modo a transportar os comandos e roubar seus dados. Malware sem arquivo(Fileless Malware) às vezes também pode se esconder em rootkits ou no registro(Registry) do sistema operacional Windows.

Uma vez dentro, os invasores usam o cache de miniaturas do Windows(Windows Thumbnail) para ocultar o mecanismo de malware. No entanto, o malware ainda precisa de um binário estático para entrar no PC host, e o e-mail é o meio mais comum usado para o mesmo. Quando o usuário clica no anexo malicioso, ele grava um arquivo de carga útil criptografado no Registro do Windows(Windows Registry) .

Fileless Malware também é conhecido por usar ferramentas como Mimikatz e Metaspoilt para injetar o código na memória do seu PC e ler os dados armazenados lá. Essas ferramentas ajudam os invasores a invadir mais profundamente seu PC e roubar todos os seus dados.

Análise comportamental e malware sem arquivo(Fileless)

Como a maioria dos programas antivírus comuns usa assinaturas para identificar um arquivo de malware, o malware sem arquivo é difícil de detectar. Assim, as empresas de segurança usam análises comportamentais para detectar malware. Esta nova solução de segurança foi projetada para enfrentar os ataques anteriores e o comportamento dos usuários e computadores. Qualquer comportamento anormal que aponte para conteúdo malicioso é notificado com alertas.

Quando nenhuma solução de endpoint pode detectar o malware sem arquivo, a análise comportamental detecta qualquer comportamento anômalo, como atividade de login suspeita, horário de trabalho incomum ou uso de qualquer recurso atípico. Esta solução de segurança captura os dados do evento durante as sessões em que os usuários usam qualquer aplicativo, navegam em um site, jogam, interagem nas mídias sociais etc.

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

Como se proteger e detectar malware sem arquivo(Fileless Malware)

Siga as precauções básicas para proteger seu computador Windows(precautions to secure your Windows computer) :

  • Aplique(Apply) todas as atualizações mais recentes do Windows –(Windows Updates –) especialmente as atualizações de segurança do seu sistema operacional.
  • Certifique(Make) -se de que todo o software instalado esteja corrigido e atualizado para as versões mais recentes
  • Use um bom produto de segurança que possa escanear com eficiência a memória do seu computador e também bloquear páginas da Web maliciosas que possam estar hospedando Exploits . Ele deve oferecer monitoramento de comportamento , verificação de (Behavior)memória(Memory) e proteção do setor de inicialização .(Boot Sector)
  • Tenha cuidado antes de baixar qualquer anexo de e-mail(downloading any email attachments) . Isso é para evitar o download da carga útil.
  • Use um firewall(Firewall) forte que permita controlar efetivamente o tráfego de rede .(Network)

Leia a seguir(Read next) : O que são os ataques Living Off The Land(Living Off The Land attacks) ?



Máximo Maia

About the author

Sou engenheiro de software e tenho experiência com o Microsoft Office e o navegador Chrome. Tenho conhecimento em muitos aspectos do desenvolvimento web, incluindo, mas não limitado a: HTML, CSS, JavaScript, jQuery e React. Meu interesse em trabalhar com tecnologia também significa que estou familiarizado com várias plataformas (Windows, Mac, iOS) e entendo como elas funcionam.


Related posts