Bestandsloze malware^{(Fileless Malware)} is voor de meesten misschien een nieuwe term, maar de beveiligingsindustrie kent het al jaren. Vorig jaar werden meer dan 140 bedrijven wereldwijd getroffen door deze Fileless Malware, waaronder banken, telecom en overheidsorganisaties. Bestandsloze malware^{(Fileless Malware)} , zoals de naam al aangeeft, is een soort malware die de schijf niet aanraakt en daarbij geen bestanden gebruikt. Het wordt geladen in de context van een legitiem proces. Sommige beveiligingsbedrijven beweren echter dat de bestandsloze aanval een klein binair bestand achterlaat in de compromitterende host om de malware-aanval te starten. Dergelijke aanvallen zijn de afgelopen jaren aanzienlijk toegenomen en zijn riskanter dan de traditionele malware-aanvallen.

Malware-aanvallen zonder bestanden

Bestandsloze malware^{(Fileless Malware)} - aanvallen, ook wel niet-malware-aanvallen^{(Non-Malware attacks)} genoemd . Ze gebruiken een typische reeks technieken om in uw systemen te komen zonder een detecteerbaar malwarebestand te gebruiken. De aanvallers zijn de afgelopen jaren slimmer geworden en hebben veel verschillende manieren ontwikkeld om de aanval uit te voeren.

Bestandsloze^(Fileless) malware infecteert de computers en laat geen bestand achter op de lokale harde schijf, waarbij de traditionele beveiligings- en forensische tools worden omzeild.

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

De bestandsloze malware bevindt zich in het Random Access Memory van uw computersysteem en geen enkel antivirusprogramma inspecteert het geheugen rechtstreeks - dus het is de veiligste modus voor de aanvallers om uw pc binnen te dringen en al uw gegevens te stelen. Zelfs de beste antivirusprogramma's missen soms de malware die in het geheugen draait.

Enkele van de recente Fileless Malware- infecties die computersystemen wereldwijd hebben geïnfecteerd zijn: Kovter , USB Thief , PowerSniff , Poweliks , PhaseBot , Duqu2 enz.

Hoe werkt bestandsloze malware?

De bestandsloze malware kan, wanneer deze in het geheugen^(Memory) terechtkomt, uw native en systeembeheer -ingebouwde Windows -tools zoals PowerShell , SC.exe en netsh.exe inzetten^(netsh.exe) om de kwaadaardige code uit te voeren en de beheerderstoegang tot uw systeem te krijgen, zodat de commando's uit en stelen uw gegevens. Bestandsloze malware^{(Fileless Malware)} kan zich soms ook verbergen in rootkits of het register^(Registry) van het Windows-besturingssysteem.

Eenmaal binnen gebruiken de aanvallers de Windows Thumbnail- cache om het malwaremechanisme te verbergen. De malware heeft echter nog steeds een statisch binair bestand nodig om de host-pc binnen te komen, en e-mail is hiervoor het meest gebruikte medium. Wanneer de gebruiker op de schadelijke bijlage klikt, schrijft deze een versleuteld payload-bestand in het Windows-register^{(Windows Registry)} .

^{(Fileless Malware)}Het is ook bekend dat bestandsloze malware tools zoals Mimikatz en Metaspoilt gebruikt om de code in het geheugen van uw pc te injecteren en de daar opgeslagen gegevens te lezen. Deze tools helpen de aanvallers om dieper in uw pc binnen te dringen en al uw gegevens te stelen.

Gedragsanalyse en bestandsloze^(Fileless) malware

Aangezien de meeste reguliere antivirusprogramma's handtekeningen gebruiken om een ​​malwarebestand te identificeren, is de bestandsloze malware moeilijk te detecteren. Beveiligingsbedrijven gebruiken dus gedragsanalyses om malware te detecteren. Deze nieuwe beveiligingsoplossing is ontworpen om de eerdere aanvallen en het gedrag van gebruikers en computers aan te pakken. Elk abnormaal gedrag dat wijst op schadelijke inhoud wordt vervolgens gemeld met waarschuwingen.

Wanneer geen enkele eindpuntoplossing de bestandsloze malware kan detecteren, detecteert gedragsanalyse elk afwijkend gedrag, zoals verdachte inlogactiviteit, ongebruikelijke werkuren of het gebruik van een atypische bron. Deze beveiligingsoplossing legt de gebeurtenisgegevens vast tijdens de sessies waarbij gebruikers een applicatie gebruiken, door een website bladeren, games spelen, interactie hebben op sociale media, enz.

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

Hoe te beschermen tegen en te detecteren Fileless Malware

Volg de basisvoorzorgsmaatregelen om uw Windows-computer te beveiligen^{(precautions to secure your Windows computer)} :

• Pas^(Apply) de nieuwste Windows-updates toe,^{(Windows Updates –)} vooral de beveiligingsupdates voor uw besturingssysteem.
• Zorg^(Make) ervoor dat al uw geïnstalleerde software is gepatcht en geüpdatet naar de nieuwste versies
• Gebruik een goed beveiligingsproduct dat efficiënt het geheugen van uw computer kan scannen en ook schadelijke webpagina's kan blokkeren die mogelijk exploits bevatten . Het zou gedragsbewaking^(Behavior) , geheugenscanning^(Memory) en bescherming van de opstartsector^{(Boot Sector)} moeten bieden.
• Wees voorzichtig voordat u e-mailbijlagen downloadt^{(downloading any email attachments)} . Dit is om te voorkomen dat de payload wordt gedownload.
• Gebruik een sterke firewall waarmee u het netwerkverkeer^(Network) effectief kunt controleren .

Lees volgende^{(Read next)} : Wat zijn Living Off The Land-aanvallen^{(Living Off The Land attacks)} ?

Fileless Malware Attacks, Protection and Detection

Fileless Malware may be a new term for most but the security industry has known it for years. Last year over 140 enterprises worldwide were hit with this Fileless Malware – including banks, telecoms, and government organizations. Fileless Malware, as the name explains is a kind of malware that doesn’t touch the disk or use any files in the process. It gets loaded in the context of a legitimate process. However, some security firms claim that the fileless attack leaves a small binary in the compromising host to initiate the malware attack. Such attacks have seen a significant rise in last few years and they are riskier than the traditional malware attacks.

Fileless Malware attacks

Fileless Malware attacks also known as Non-Malware attacks. They use a typical set of techniques to get into your systems without using any detectable malware file. In the past few years, the attackers have become smarter and have developed many different ways to launch the attack.

Fileless malware infects the computers leaving behind no file on the local hard drive, sidestepping the traditional security and forensics tools.

What’s unique about this attack, is the usage of a piece sophisticated malicious software, that managed to reside purely in the memory of a compromised machine, without leaving a trace on the machine’s file system. Fileless malware allows attackers to evade detection from most end-point security solutions which are based on static files analysis (Anti-Viruses). The latest advancement in Fileless malware shows the developers focus shifted from disguising the network operations to avoiding detection during the execution of lateral movement inside the victim’s infrastructure, says Microsoft.

The fileless malware resides in the Random Access Memory of your computer system, and no antivirus program inspects the memory directly – so it is the safest mode for the attackers to intrude in your PC and steal all your data. Even the best antivirus programs sometimes miss the malware running in the memory.

Some of the recent Fileless Malware infections that have infected computer systems worldwide are – Kovter, USB Thief, PowerSniff, Poweliks, PhaseBot, Duqu2, etc.

How does Fileless Malware work

The fileless malware when it lands into the Memory can deploy your native and system administrative Windows built-in tools like PowerShell, SC.exe, and netsh.exe to run the malicious code and get the admin access to your system, so as to carry out the commands and steal your data. Fileless Malware sometime may also hide in Rootkits or the Registry of the Windows operating system.

Once in, the attackers use the Windows Thumbnail cache to hide the malware mechanism. However, the malware still needs a static binary to enter the host PC, and email is the most common medium used for the same. When the user clicks on the malicious attachment, it writes an encrypted payload file in the Windows Registry.

Fileless Malware is also known to use tools like Mimikatz and Metaspoilt to inject the code into your PC’s memory and read the data stored there. These tools help the attackers to intrude deeper into your PC and steal all your data.

Behavioral analytics and Fileless malware

Since most of the regular antivirus programs use signatures to identify a malware file, the fileless malware is hard to detect. Thus, security firms use behavioral analytics to detect malware. This new security solution is designed to tackle the previous attacks and behavior of the users and computers. Any abnormal behavior which points to malicious content is then notified with alerts.

When no endpoint solution can detect the fileless malware, behavioral analytics detects any anomalous behavior such as suspicious login activity, unusual working hours or use of any atypical resource. This security solution captures the event data during the sessions where users use any application, browse a website, play games, interacts on social media, etc.

Fileless malware will only become smarter and more common. Regular signature-based techniques and tools will have a harder time to discover this complex, stealth-oriented type of malware says Microsoft.

How to protect against & detect Fileless Malware

Follow the basic precautions to secure your Windows computer:

• Apply all the latest Windows Updates – especially the security updates to your operating system.
• Make sure that all your installed software is patched and updated to their latest versions
• Use a good security product that can efficiently scan your computer’s memory and also block malicious web pages that may be hosting Exploits. It should offer Behavior monitoring, Memory scanning, and Boot Sector protection.
• Be careful before downloading any email attachments. This is to avoid downloading the payload.
• Use a strong Firewall that lets you effectively control Network traffic.

Read next: What are Living Off The Land attacks?

Related posts

• DLL-kaping van kwetsbaarheidsaanvallen, preventie en detectie

• Hoe phishing-zwendel en -aanvallen te voorkomen?

• Wat is een trojan voor externe toegang? Preventie, detectie en verwijdering

• Cyberaanvallen - Definitie, typen, preventie

• Crystal Security is een gratis cloudgebaseerde malwaredetectietool voor pc

• Avast Boot Scan gebruiken om malware van een Windows-pc te verwijderen

• De ingebouwde Malware Scanner & Cleanup Tool van de Chrome-browser gebruiken

• Rogue Security Software of Scareware: hoe controleren, voorkomen, verwijderen?

• Controleer of uw computer is geïnfecteerd door de ASUS Update Malware

• Hoe kom je aan een computervirus, trojan, werk, spyware of malware?

• Wat is het IDP.generic-virus en hoe verwijder je het?

• Driver Tonic verwijderen of verwijderen uit Windows 10

• Wat is cybercriminaliteit? Hoe ermee om te gaan?

• Fix Zoeken mislukt fout bij het uitvoeren van Chrome Malware Scanner

• Browserkaping en gratis hulpprogramma's voor het verwijderen van browserkapers

• Microsoft Windows Logo-proces in Taakbeheer; Is het een virus?

• Malware-indiening: waar kunt u malwarebestanden indienen bij Microsoft en anderen?

• Malvertising-aanvallen: definitie, voorbeelden, bescherming, beveiliging

• Bundelware: handleiding voor definitie, preventie en verwijdering

• Hoe Chromium Virus te verwijderen uit Windows 11/10