Com o avanço da tecnologia, os cibercriminosos estão cada vez mais cientes das estratégias que as organizações estão usando para tentar bloquear seus ataques e estão criando malwares cada vez mais sofisticados para escapar das defesas. É uma corrida contra o tempo, já que na mesma proporção em que a taxa de violações de segurança vem aumentando, a variedade de ataques aumenta também. Os ataques fileless aumentaram em 1.400% no ano de 2022.
O Fileless malware é perigoso, pois ele usa as próprias ferramentas que já estão no sistema do usuário para efetuar o ataque. Ele é conhecido como “sem arquivo”, pois nenhum arquivo é baixado para o seu disco rígido, o que se torna mais difícil para detectá-lo.
No texto a seguir, iremos explicar o que é Fileless, como é feito o ataque, e quais medidas podem ser tomadas para se proteger contra ele. Boa leitura!
O que são ataques Fileless?
O nome “Fileless”(ou sem arquivo) refere-se a um tipo de ataque cibernético que não utiliza arquivos armazenados na máquina para agir, eliminando a necessidade de instalação de qualquer programa malicioso. Em vez disso, ele utiliza programas e ferramentas que já estão instalados na máquina, como cripts legítimos, processos em memória ou ferramentas nativas do sistema operacional, como o PowerShell ou o Windows Management Instrumentation (WMI), para executar o ataque. Esse tipo de malware não é um arquivo invasor armazenado no disco rígido; ao contrário, ele corrompe programas confiáveis já instalados. Sua execução ocorre diretamente na memória do sistema, o que dificulta a detecção e remoção por antivírus tradicionais. Por operar de forma discreta, ataques fileless podem se espalhar rapidamente, concedendo aos invasores acesso remoto ao sistema da vítima de maneira silenciosa e eficaz.
Como funciona um ataque Fileless?
Cadeia de ataque de malwares sem arquivo
Um ataque de malware sem arquivo é muito semelhante a um ataque de malware baseado em arquivo. Algumas das principais etapas incluem:
Vetor Inicial de Infecção
O ataque geralmente tem início ao explorar uma vulnerabilidade no sistema, o que ocorre frequentemente quando o software está desatualizado ou quando o invasor utiliza um link malicioso enviado por meio de um e-mail de phishing.
Execução de Código Malicioso
Ao invés de baixar um arquivo executável, o código malicioso é executado diretamente na Memória RAM ou através de ferramentas legítimas do sistema, como PowerShell. Esse método dificulta a detecção e o bloqueio pelo antivírus.
Persistência no Sistema
Após obter acesso à máquina, o malware busca permanecer ativo. Os invasores utilizam técnicas avançadas para garantir que o ataque seja executado sempre que o sistema for reiniciado, assegurando controle contínuo.
Objetivos
Uma vez ativo, o ataque pode ser direcionado a diversas ações maliciosas, como: Roubo de credenciais, Criptografia de arquivos para ransomware, Download de outros malwares, Exfiltração de dados sensíveis e Realização de espionagem ou sabotagem.
Quais são as principais técnicas de Fileless?
Injeção de códigos de memória
Essa técnica utiliza a inserção de códigos maliciosos diretamente na memória de um programa ou processo em execução, em vez de gravá-lo no disco rígido. Isso permite que o código seja executado sem deixar rastros no sistema, tornando sua detecção pelos antivírus tradicionais extremamente difícil.
Frequentemente, esses tipos de ataques exploram vulnerabilidades em softwares como Flash, Java e navegadores. Além disso, campanhas de phishing são usadas para entregar o código malicioso e executá-lo diretamente na memória da máquina da vítima.
Manipulação de Registro do Windows
Nessa técnica, o invasor utiliza links ou arquivos maliciosos que quando clicados, aproveitam o processo legítimo do Windows para executar código fileless no registro. Uma vez ativado pelo usuário, o processo legítimo é utilizado para operar o código malicioso, eliminando a necessidade de arquivos e dificultando ainda mais sua detecção.
Como se proteger contra um ataque Fileless?
Algumas das maneiras pelas quais uma organização pode se proteger contra ataques de malware sem arquivo incluem:
Mantenha o seu software sempre atualizado
O Fileless se aproveita de vulnerabilidades no sistema para atacar. É importante deixar o sistema sempre atualizado com as correções e atualizações de segurança para ajudar a evitar que os invasores explorem as vulnerabilidades conhecidas. Se as ferramentas como PowerShell ou WMI não são usadas na organização, desative ou restrinja o seu uso.
Utilize Ferramentas de Monitoramento e Detecção
Ferramentas de monitoramento e detecção podem ajudar a identificar comportamentos suspeitos e incomuns que podem estar relacionados a malware fileless e a outros tipos de ameaças.
Adote o Princípio do Menor Privilégio
O malware fileless muitas vezes depende de privilégios administrativos para realizar seus ataques. A implementação do princípio do menor privilégio, que limita o acesso do usuário apenas ao essencial para a realização de suas tarefas, pode reduzir significativamente o impacto desse tipo de ameaça.
Eduque os usuários
Ensine os colaboradores a identificarem pishing e outras táticas de engenharia social. Reforce a importância de verificarem os remetentes e evitarem clicar em links desconhecidos. Sempre deixe os seus funcionários atualizados sobre as novas tendências em ciberameaças.
As técnicas tradicionais não são eficazes contra ataques do tipo fileless. Para lidar com essas ameaças, é necessário adotar uma abordagem direcionada ao usuário final, baseada na análise de risco do seu comportamento e das aplicações presentes no endpoint.
A recomendação é que as empresas fortaleçam suas estratégias de cibersegurança por meio de práticas como o monitoramento e análise contínua de logs, segmentação de redes, implementação de sistemas de detecção e prevenção de intrusões, além do uso de ferramentas de detecção de anomalias baseadas em comportamento.
Proteja a sua empresa contra o ataque fileless com o Trend Vision One Endpoint Security
O Trend Vision One – Endpoint Security é uma solução ideal para proteger contra ataques fileless, pois combina recursos avançados de proteção contra ameaças, como EDR/XDR e inteligência de ameaças, para identificar atividades suspeitas em tempo real, mesmo sem a presença de arquivos maliciosos. Ele monitora a execução de processos, investiga a causa raiz dos incidentes e realiza buscas proativas por indicadores de comprometimento (IoCs). Além disso, a automação e integração com outros sistemas garantem respostas rápidas e eficientes, reduzindo os riscos de ataques invisíveis. Para saber mais, fale com os nossos especialistas.
Sobre a Solor
Com 15 anos no mercado, a Solor atua com serviços gerenciados de infraestrutura e cibersegurança. Nosso principal objetivo é sustentar operações críticas de tecnologia, elevando a eficiência operacional e otimizando o investimento dos nossos clientes.
