ファイルレスマルウェア^{(Fileless Malware)}はほとんどの人にとって新しい用語かもしれませんが、セキュリティ業界は何年も前からそれを知っています。昨年、世界中の140以上の企業が、銀行、通信会社、政府機関など、このファイルレスマルウェアに見舞われました。^{(Fileless Malware –)}ファイルレスマルウェア^{(Fileless Malware)}は、その名前が示すように、ディスクに触れたり、プロセスでファイルを使用したりしない一種のマルウェアです。正当なプロセスのコンテキストでロードされます。ただし、一部のセキュリティ会社は、ファイルレス攻撃がマルウェア攻撃を開始するために侵害するホストに小さなバイナリを残すと主張しています。このような攻撃はここ数年で大幅に増加しており、従来のマルウェア攻撃よりもリスクが高くなっています。

ファイルレスマルウェア攻撃

非マルウェア^{(Fileless Malware)}攻撃とも呼ばれるファイルレスマルウェア攻撃^{(Non-Malware attacks)}。彼らは、検出可能なマルウェアファイルを使用せずにシステムに侵入するための典型的な一連の技術を使用しています。過去数年間で、攻撃者はより賢くなり、攻撃を開始するためのさまざまな方法を開発しました。

ファイルレス^(Fileless)マルウェアはコンピューターに感染し、ローカルハードドライブにファイルを残さず、従来のセキュリティおよびフォレンジックツールを回避します。

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

ファイルレスマルウェアはコンピュータシステムのランダムアクセスメモリ^{(Random Access Memory)}に存在し、ウイルス対策プログラムがメモリを直接検査することはありません。したがって、攻撃者がPCに侵入し、すべてのデータを盗むのに最も安全なモードです。最高のウイルス対策プログラムでさえ、メモリ内で実行されているマルウェアを見逃すことがあります。

世界中のコンピュータシステムに感染している最近のファイルレスマルウェア感染には、 ^{(Fileless Malware)}Kovter、USB Thief、PowerSniff、Poweliks、PhaseBot、Duqu2などがあります。

ファイルレスマルウェアはどのように機能しますか

ファイルレスマルウェアがメモリに侵入すると、 ^(Memory)PowerShell、SC.exe、netsh.exeなどのネイティブおよびシステム管理用のWindows組み込みツールを展開して、悪意のあるコードを実行し、管理者がシステムにアクセスできるようにします。コマンドを取り出してデータを盗みます。ファイルレスマルウェアは、^{(Fileless Malware)}ルートキット^{(Rootkits)(Rootkits)}またはWindowsオペレーティングシステムのレジストリ^(Registry)に隠れることもあります。

侵入すると、攻撃者はWindowsサムネイル^{(Windows Thumbnail)}キャッシュを使用してマルウェアメカニズムを隠します。ただし、マルウェアがホストPCに侵入するには静的バイナリが必要であり、電子メールが最も一般的な媒体として使用されます。ユーザーが悪意のある添付ファイルをクリックすると、暗号化されたペイロードファイルがWindowsレジストリ^{(Windows Registry)}に書き込まれます。

Fileless Malwareは、 ^{(Fileless Malware)}MimikatzやMetaspoiltなどのツールを使用して、コードをPCのメモリに挿入し、そこに保存されているデータを読み取ることも知られています。これらのツールは、攻撃者がPCに深く侵入し、すべてのデータを盗むのに役立ちます。

行動分析とファイルレス^(Fileless)マルウェア

通常のウイルス対策プログラムのほとんどは署名を使用してマルウェアファイルを識別するため、ファイルレスマルウェアを検出するのは困難です。したがって、セキュリティ会社は行動分析を使用してマルウェアを検出します。この新しいセキュリティソリューションは、ユーザーとコンピューターの以前の攻撃と動作に対処するように設計されています。悪意のあるコンテンツを指す異常な動作は、アラートで通知されます。

エンドポイントソリューションがファイルレスマルウェアを検出できない場合、行動分析は、疑わしいログインアクティビティ、異常な稼働時間、非定型リソースの使用などの異常な動作を検出します。このセキュリティソリューションは、ユーザーが任意のアプリケーションを使用したり、Webサイトを閲覧したり、ゲームをプレイしたり、ソーシャルメディアでやり取りしたりするセッション中にイベントデータをキャプチャします。

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

ファイルレスマルウェア^{(Fileless Malware)}から保護および検出する方法

Windowsコンピュータを保護するため^{(precautions to secure your Windows computer)}の基本的な注意事項に従ってください。

• ^(Apply)すべての最新のWindowsUpdate^{(Windows Updates –)}、特にオペレーティングシステムへのセキュリティ更新を適用します。
• ^(Make)インストールされているすべてのソフトウェアにパッチが適用され、最新バージョンに更新されていることを確認してください
• コンピュータのメモリを効率的にスキャンし、エクスプロイト^(Exploits)をホストしている可能性のある悪意のあるWebページをブロックできる優れたセキュリティ製品を使用してください。動作^(Behavior)監視、メモリ^(Memory)スキャン、およびブートセクタ^{(Boot Sector)}保護を提供する必要があります。
• 電子メールの添付ファイルをダウンロードする^{(downloading any email attachments)}前に注意してください。これは、ペイロードのダウンロードを回避するためです。
• ネットワーク^(Network)トラフィックを効果的に制御できる強力なファイアウォールを使用します。^(Firewall)

次を読む^{(Read next)}：Living Off The Land攻撃^{(Living Off The Land attacks)}とは何ですか？

Fileless Malware Attacks, Protection and Detection

Fileless Malware may be a new term for most but the security industry has known it for years. Last year over 140 enterprises worldwide were hit with this Fileless Malware – including banks, telecoms, and government organizations. Fileless Malware, as the name explains is a kind of malware that doesn’t touch the disk or use any files in the process. It gets loaded in the context of a legitimate process. However, some security firms claim that the fileless attack leaves a small binary in the compromising host to initiate the malware attack. Such attacks have seen a significant rise in last few years and they are riskier than the traditional malware attacks.

Fileless Malware attacks

Fileless Malware attacks also known as Non-Malware attacks. They use a typical set of techniques to get into your systems without using any detectable malware file. In the past few years, the attackers have become smarter and have developed many different ways to launch the attack.

Fileless malware infects the computers leaving behind no file on the local hard drive, sidestepping the traditional security and forensics tools.

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

The fileless malware resides in the Random Access Memory of your computer system, and no antivirus program inspects the memory directly – so it is the safest mode for the attackers to intrude in your PC and steal all your data. Even the best antivirus programs sometimes miss the malware running in the memory.

Some of the recent Fileless Malware infections that have infected computer systems worldwide are – Kovter, USB Thief, PowerSniff, Poweliks, PhaseBot, Duqu2, etc.

How does Fileless Malware work

The fileless malware when it lands into the Memory can deploy your native and system administrative Windows built-in tools like PowerShell, SC.exe, and netsh.exe to run the malicious code and get the admin access to your system, so as to carry out the commands and steal your data. Fileless Malware sometime may also hide in Rootkits or the Registry of the Windows operating system.

Once in, the attackers use the Windows Thumbnail cache to hide the malware mechanism. However, the malware still needs a static binary to enter the host PC, and email is the most common medium used for the same. When the user clicks on the malicious attachment, it writes an encrypted payload file in the Windows Registry.

Fileless Malware is also known to use tools like Mimikatz and Metaspoilt to inject the code into your PC’s memory and read the data stored there. These tools help the attackers to intrude deeper into your PC and steal all your data.

Behavioral analytics and Fileless malware

Since most of the regular antivirus programs use signatures to identify a malware file, the fileless malware is hard to detect. Thus, security firms use behavioral analytics to detect malware. This new security solution is designed to tackle the previous attacks and behavior of the users and computers. Any abnormal behavior which points to malicious content is then notified with alerts.

When no endpoint solution can detect the fileless malware, behavioral analytics detects any anomalous behavior such as suspicious login activity, unusual working hours or use of any atypical resource. This security solution captures the event data during the sessions where users use any application, browse a website, play games, interacts on social media, etc.

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

How to protect against & detect Fileless Malware

Follow the basic precautions to secure your Windows computer:

• Apply all the latest Windows Updates – especially the security updates to your operating system.
• Make sure that all your installed software is patched and updated to their latest versions
• Use a good security product that can efficiently scan your computer’s memory and also block malicious web pages that may be hosting Exploits. It should offer Behavior monitoring, Memory scanning, and Boot Sector protection.
• Be careful before downloading any email attachments. This is to avoid downloading the payload.
• Use a strong Firewall that lets you effectively control Network traffic.

Read next: What are Living Off The Land attacks?

Related posts

• DLL Hijacking Vulnerability Attacks、Prevention & Detection

• Phishing Scams and Attacksを回避する方法？

• リモートAccess Trojanとは何ですか？防止、Detection & Removal

• Cyber Attacks - 定義、Types、防止

• Crystal SecurityはPC用の無料CloudベースのMalware Detection Toolです

• MicrosoftはMalware & Potentiallyの不要なアプリケーションをどのように識別しますか

• ファイルをスキャンするには、最高のオンラインOnline Malware Scanners

• IObit Malware Fighter Free review & download

• Rogue Security Software or Scareware：チェック方法、防止、削除？

• Avast Boot Scanを使用してWindows PCからMalwareを削除する方法

• Fix Search Chrome Malware Scannerを実行しているときのエラーが失敗しました

• Windows 10で指定されたモジュールが見つかりませんでした

• Windows 11/10でSpecific Virusを削除するための無料Malware Removal Tools

• Windows 10のPCからMalwareを削除する方法

• Malwareを削除するMalwarebytes Anti-Malwareを使用する方法

• CryptoJacking新しいbrowser mining threatあなたは知っている必要があります

• Backdoor attackとは何ですか？ Meaning、Examples、Definitions

• Malwareを防ぐ方法 - ヒントがWindows 11/10を確保するために

• Microsoft Windows Logo process Task Manager。それはウイルスですか？

• FileRepMalwareとは何ですか？あなたはそれを取り除くべきですか？