Πώς το Fileless Malware διαφέρει από τις παραδοσιακές επιθέσεις

Το τοπίο της κυβερνοασφάλειας έχει υποστεί δραματική εξέλιξη στις μεθοδολογίες επιθέσεων, με το fileless malware να αναδεικνύεται ως μία από τις πιο εξελιγμένες και επικίνδυνες απειλές που αντιμετωπίζουν οι οργανισμοί σήμερα.

Δείτε επίσης: Το TamperedChef malware μιμείται εργαλεία παραγωγικότητας

Σε αντίθεση με το παραδοσιακό κακόβουλο λογισμικό που βασίζεται σε εκτελέσιμα αρχεία αποθηκευμένα στον δίσκο, οι επιθέσεις fileless λειτουργούν αποκλειστικά στη μνήμη, αξιοποιώντας νόμιμα εργαλεία του συστήματος για να επιτύχουν τους κακόβουλους στόχους τους, ενώ παραμένουν σχεδόν αόρατες στις συμβατικές λύσεις ασφαλείας.

Σύμφωνα με το Ponemon Institute, οι επιθέσεις fileless είναι περίπου δέκα φορές πιο πιθανό να επιτύχουν σε σύγκριση με τις παραδοσιακές επιθέσεις που βασίζονται σε αρχεία. Αυτό το εντυπωσιακό ποσοστό επιτυχίας αντικατοπτρίζει μια θεμελιώδη αλλαγή στον τρόπο που οι κυβερνοεγκληματίες προσεγγίζουν την παραβίαση συστημάτων, απομακρυνόμενοι από τις εύκολα ανιχνεύσιμες μεθόδους που βασίζονται σε αρχεία προς τεχνικές που κατοικούν στη μνήμη και εκμεταλλεύονται τα ίδια τα εργαλεία που χρησιμοποιούν καθημερινά οι διαχειριστές.

Πρόσφατες στατιστικές αποκαλύπτουν ότι το fileless malware συμμετείχε στο 52% όλων των περιστατικών παραβίασης συστημάτων παγκοσμίως το 2023, με πάνω από το 60% των επιθέσεων ransomware να ενσωματώνουν κάποια μορφή fileless στοιχείου.

Δείτε ακόμα: Νέα επίθεση Spear-Phishing διανέμει το DarkCloud malware

Το παραδοσιακό κακόβουλο λογισμικό ακολουθεί καλά καθορισμένα πρότυπα επιθέσεων που έχουν βελτιωθεί μέσα από δεκαετίες εξέλιξης των κυβερνοεγκληματιών. Αυτές οι απειλές συνήθως περιλαμβάνουν εκτελέσιμα αρχεία που πρέπει να γραφτούν και να αποθηκευτούν στον σκληρό δίσκο του στόχου πριν μπορέσουν να εκτελεστούν.

Ο κύκλος ζωής της επίθεσης ξεκινά με την αρχική παράδοση μέσω διαύλων όπως συνημμένα email, κακόβουλες λήψεις ή μολυσμένα αφαιρούμενα μέσα. Μόλις το κακόβουλο αρχείο φτάσει στο σύστημα στόχο, απαιτεί δικαιώματα εκτέλεσης και συχνά καθιερώνει εμμονή τροποποιώντας το μητρώο, δημιουργώντας καταχωρήσεις στο φάκελο εκκίνησης ή εγκαθιστώντας υπηρεσίες.

Το παράδειγμα ανίχνευσης για το παραδοσιακό κακόβουλο λογισμικό είναι σχετικά απλό, βασιζόμενο σε μεγάλο βαθμό σε μεθόδους αναγνώρισης με βάση την υπογραφή. Οι λύσεις ασφαλείας διατηρούν εκτεταμένες βάσεις δεδομένων γνωστών υπογραφών κακόβουλου λογισμικού, που είναι μοναδικά πρότυπα ή αποτυπώματα που αναγνωρίζουν συγκεκριμένες απειλές. Όταν τα αρχεία σαρώνονται, τα χαρακτηριστικά τους συγκρίνονται με αυτές τις υπογραφές, προκαλώντας ειδοποιήσεις όταν εντοπίζονται αντιστοιχίες. Αυτή η προσέγγιση έχει αποδειχθεί αποτελεσματική για την αναγνώριση γνωστών απειλών και των παραλλαγών τους, αλλά δυσκολεύεται σημαντικά με νέο ή τροποποιημένο κακόβουλο λογισμικό.

Δείτε επίσης: PureMiner malware: Χάκερ εκμεταλλεύονται αρχεία SVG για διανομή

Το fileless malware αντιπροσωπεύει μια θεμελιώδη απόκλιση από τις παραδοσιακές μεθοδολογίες επιθέσεων, λειτουργώντας με αρχές που προκαλούν κάθε υπόθεση που υποστηρίζει τις συμβατικές άμυνες κυβερνοασφάλειας. Αυτές οι επιθέσεις διατηρούν αρκετά χαρακτηριστικά που τις διακρίνουν από τις απειλές που βασίζονται σε αρχεία: εκτελούνται εξ ολοκλήρου στη μνήμη του συστήματος χωρίς να δημιουργούν επίμονα αρχεία, χρησιμοποιούν νόμιμα εργαλεία του συστήματος αντί για προσαρμοσμένα εκτελέσιμα, καθιερώνουν παρουσία μέσω τροποποιήσεων του μητρώου ή έγχυσης διεργασιών και διατηρούν επικοινωνίες μέσω κρυπτογραφημένων νόμιμων πρωτοκόλλων.