IT業界資訊媒體

【提防惡毒纏身】認識無檔案惡意程式

無檔案惡意程式日益嚴重,多少因為現今的防毒工具偵測能力越來越強,相對而言無檔案惡意程式較難被偵測,而且可長期匿藏兼無限復活,非常難纏。根據報導,針對企業的攻擊得逞案例當中,有 77% 是無檔案惡意程式攻擊,大家要認識這種攻擊方法,加倍提防。

甚麼是無檔案惡意程式

無檔案惡意程式(Fileless Malware)是一種利用既有軟件、被認可的應用程式如 Microsoft WordFlashAdobe PDF ReaderJavaScript 甚或系統工具如 Microsoft Windows Management Instrumentation (WMI) PowerShell 之類去執行惡意行動的網絡攻擊。它不似傳統的惡意程式那樣帶有明顯特徵,亦不以電腦硬盤為目標,尤其針對記憶體進行攻擊,其隱蔽性極高、匿藏期長,一般 whitelistingsignature detectionhardware verificationpattern-analysistime-stamping 等防禦策略都難以招架。

特別鍾情 PowerShell

經常發現無檔案惡意程式都會利用微軟 PowerShellPowerShell 是不少 Windows OS 的內建功能,能呼召 API 以執行重要的系統與應用程式以及 OS objectPowerShell 本身並無磁碟上的執行檔,又有支援多重平台的開放原始碼版本 (PowerShell Core),特點是 flexibility accessibility,但亦成為滋生無檔案惡意程式的土壤。當然,無檔案惡意程式並非只針對 PowerShell,下列為無檔案惡意程式的一些特點:

1. 利用文件漏洞

此方法是透過傳統的 JavaScript VisualBasic (VBA) 的巨集程式碼 (macro code) 內嵌於 Office 文件、PDF 檔案、壓縮檔或任何看似無害的檔案內。一旦執行,就會啟動 PowerShell 之類的正常工具,下載、解密或執行更多 payloads、程式碼或惡意檔案,或者直接執行記憶體中的程式碼,後者嚴格來說仍不算完全的「無檔案」攻擊,因為仍需要先透過檔案挾帶巨集來入侵系統。

2.直接從記憶體執行

典型的無檔案惡意程式就是直接從記憶體執行,不似傳統惡意程式寫入磁碟,令防毒軟件難偵測無檔案惡意程式。它可利用不同方式執行,常見的方式是將惡意程式碼注入正常的執行程序,以此避過偵測。另外,亦會利用正常的系統管理工具及 API PowerShellPsExec Windows Management InstrumentationWMI)來入侵正常執行程序的記憶體及權限。常用的技術包括Reflective DLL injection(將 dynamic-link library 載入執行程序)、EternalBlue (利用記憶體漏洞)、Process Hollowing(利用 PsExec 注入或替換既有程式碼)。

3. 用腳本安裝惡意程式

為求避免於磁碟上產生檔案而被偵測,無檔案惡意程式亦會將程式碼加密、混淆或嵌入腳本(Script-based)。此方法變化多端,既可以檔案形成執行,又可以直接套用於 command line(以 PowerShellWScriptJavaScriptVBScriptmshta 等),如將腳本拆開好幾段,分散於不同程序當中執行。除了 PowerShell,黑客亦會針對應用程式如 Microsoft Office 的漏洞,如遙距執行記憶體內的腳本以躲避 Endpoint 防護偵測。

4. 利用 IT 和系統管理工具

黑客亦會就地取材,利用現成的系統內建功能和管理工具當成跳板,更可藉此下載或啟動更多惡意程式、長期潛伏、盜取及傳送資料、甚至在內部網路橫向移動。難纏之處是黑客利用既有的正常系統工具如 PowerShellCommand Promptregsvr32rundll32WMICBitsadminCertUtilmsiexec command line 介面,還有遠端桌面以及 Cobalt StrikeMimikatz 等第三方滲透測試工具,一般都難以被偵測。

5.長期匿藏兼無限復活

無檔案惡意程式難纏之處運用各種特殊方式長期匿藏,甚至無限復活。例如惡意程式碼或檔案儲存在系統登錄(Registry)中,每次重新開機就會自動還原並執行其程式碼,此外亦有無檔案惡意程式依附於某些捷徑,典型例子就是 KOVTER。另一種賴死的方法是利用 Windows 工作排程器(Task Scheduler),令程式於預定時間啟動,此方法很多時用來避開沙盒偵測。最近,黑客亦利用 Windows WMI 管理介面來常駐系統,利用 WMI 存放庫 (Repository) 來儲存,再利用 WMI 本身的功能呼喚,此方法可讓無檔案惡意程式橫向移動以及長期匿藏,某些挖礦惡意程式亦會用上此方法。

防範無檔案惡意程式的確比較困難,基本動作當然是小心任可疑電郵、連結、檔案,就算是正常檔案或程式都不能掉以輕心。

參考資料:https://bit.ly/2NtDcXNhttps://bit.ly/2GHKRRFhttps://bit.ly/2H1wNli