Телекоммуникационные услуги Облачные сервисы Информационная безопасность Smartcloud
Техническая поддержка IaaS Инфраструктурные решения
Аналитика Контакты Профиль
5151 Бесплатно с мобильного по РК info@kazteleport.kz +7 727 364 5151 Международные звонки
Qaz
5151 Бесплатно с мобильного по РК
+7 727 364 5151 Международные звонки
Блог

Что такое бесфайловые вредоносные программы?

11.12.2023

Бесфайловые вредоносные программы — это тип вредоносного программного кода, который использует легитимные системные инструменты и возможности для совершения кибератаки. Основное отличие бесфайловых вирусов от других видов вирусных программных продуктов заключается в отсутствии необходимости установки вредоносного кода в целевой системе. Именно это позволяет снизить вероятность их обнаружения антивирусным ПО и другими средствами защиты и мониторинга.

4q8vibz30uudabpr99eqsjadl0di0d19.png

Бесфайловые вредоносные программы: основные виды

Несмотря на отсутствие необходимости непосредственной установки в систему вредоносного кода, для успешного завершения атаки хакеру необходимо получить доступ к целевой среде, чтобы воспользоваться стандартными системными инструментами. Для получения доступа могут использоваться разные тактики, рассмотрим основные из них.

1. Резидентные вредоносные программные продукты

Вредоносные программы устанавливаются в реестр ОС Windows для обеспечения постоянной работы и сокрытия вредоносной активности. Как правило, заражение целевой системы осуществляется с использованием так называемых программ-дропперов, необходимых для загрузки файлов с хакерским кодом. Однако в случае скачивания вредоносного файла, антивирусное ПО может его обнаружить в процессе выполнения, что не входит в планы киберпреступников. Чтобы обойти антивирусную защиту, дропперы используются не для загрузки файлов, а для записи кода непосредственно в системный реестр.

В большинстве случаев алгоритм вредоносного кода предполагает автоматический запуск при старте операционной системы. Известным примером такой атаки являются: Poweliks, Kovter, GootKit. Хакерские программы, использующие для контроля компьютера жертвы ключи реестра, могут долгое время оставаться незамеченными, что грозит потерей конфиденциальных данных.

2. Набор эксплойтов

Эксплойты представляют собой наборы данных или последовательности команд, которые используются киберпреступниками для использования существующих или потенциальных уязвимостей установленного программного обеспечения и операционных систем. Эксплойты являются для злоумышленников эффективным инструментом запуска бесфайловой атаки, так как внедряются непосредственно в память без необходимости в сохранении на твердотельном накопителе. Часто применяются для автоматизации дальнейшего несанкционированного проникновения в систему.

Подобного типа заражение чаще всего происходит при помощи методов социальной инженерии, включая фишинговый спам. В комплект эксплойтов, как правило, входит вредоносный код, предназначенный для работы с разными типами уязвимостей и инструмент контроля и управления системой, в частности командная консоль. Современные версии эксплойтов имеют возможность полного сканирования файловой системы для обнаружения уязвимостей и создания инструментов их использования “на лету”.

3. Бесфайловые вымогатели

Редко киберпреступники ограничиваются использованием одного вида угрозы. Чаще они предпринимают все возможности для того, чтобы получить контроль над системой. На сегодня известны случаи, когда бестелесное вредоносное ПО использовалось как традиционные программы-вымогатели.

Вредоносный код записывается непосредственно в память при помощи эксплойта либо внедряется в документы с использованием макросов. После внедрения на машину жертвы программа-вымогатель атакует встроенные в систему средства для шифрования файловой системы, например, инструмент PowerShell.

4. Вредоносное ПО, работающее в памяти

Примером таких хакерских продуктов является червь Duqu, который маскируется от антивирусных программ, благодаря отсутствию исполняемого кода в файловой системе. На сегодня известны две версии червя:

  • бэкдор. Применяется на начальных стадиях атаки для получения несанкционированного доступа к системе;

  • extended. Расширенная версия хакерского инструмента, предоставляющая злоумышленнику дополнительные возможности, включая разведку, боковое перемещение и возможность кражи целевой информации.

5. Скомпрометированные учетные данные

Киберпреступники могут совершить атаку, используя учетные данные пользователей, полученные незаконно, чтобы убедить систему в правомерности своего присутствия в среде. После получения доступа хакеры используют системные инструменты, включая PowerShell или WMI для совершения злонамеренных действий. Для обеспечения анонимности злоумышленники прячут вредоносный код в регистре или ядре системы.

Этапы бесфайловой атаки

pasted image 0 (8).png

Рассмотрим основной алгоритм действий, используемый злоумышленниками для нанесения вреда целевой системе и кражи данных с использованием бесфайловых программ:

  1. Получение доступа к целевой системе. С целью создания плацдарма для дальнейшей атаки киберпреступнику необходимо организовать удаленный доступ к компьютеру жертвы. Для этого хакеры применяют веб-скрипты, например, China Chopper, и существующие уязвимости безопасности.

  2. Кража учетных данных. После успешного проведения предыдущего этапа и получения доступа к целевой системе киберпреступник приступает к краже учетных данных, что позволяет установить доступ к другим системам в этой среде.

  3. Установка бэкдора. Чтобы не повторять вышеописанные действия при необходимости повторного подключения к системе жертвы, преступник создает уязвимости и устанавливает бэкдоры, которые позволят ему в любой момент установить соединение с целевым компьютером.  

  4. Кража данных. Последний этап включает в себя подготовку целевых данных на выгрузку из системы пользователя. Для сбора и сжатия информации используются стандартные системные инструменты, после чего подготовленные данные отправляются на удаленный сервер с использованием протокола FTP. Часто украденные данные удаляются из файловой системы жертвы для невозможности их использования. При отсутствии у пользователя резервных копий, восстановить удаленную информацию часто не представляется возможным.

Резюме

Бесфайловые вредоносные программы — вид киберугрозы, который требует особого внимания специалистов по кибербезопасности. Злоумышленники научились обходить системы защиты и антивирусное программное обеспечение, внедряя вредоносный код непосредственно в память устройства. Для минимизации вероятности заражения рекомендуется применять фундаментальные средства защиты информационной инфраструктуры, следить за последними тенденциями в кибербезопасности и использовать современные инструменты для борьбы с угрозами.
Поделиться статьей
Другие новости
и статьи
Смотреть все
Логирование: что это такое и зачем его используют
03.09.2024
Логирование: что это такое и зачем его используют
Прочитать
 «Казтелепорт» получил международную сертификацию Tier III Facility
09.08.2024
«Казтелепорт» получил международную сертификацию Tier III Facility
Прочитать
Jelastic на SmartCloud прекращает свою работу
30.01.2024
Jelastic на SmartCloud прекращает свою работу
Прочитать
Как определить скрытый майнинг
29.01.2024
Как определить скрытый майнинг
Прочитать
Ботнеты: что это и как они влияют на кибербезопасность
22.01.2024
Ботнеты: что это и как они влияют на кибербезопасность
Прочитать
Кейлоггер (клавиатурный шпион) и методы защиты данных
15.01.2024
Кейлоггер (клавиатурный шпион) и методы защиты данных
Прочитать
Фишинг и фарминг: сходства и различия
09.01.2024
Фишинг и фарминг: сходства и различия
Прочитать
Что такое троянский вирус и методы удаления?
04.01.2024
Что такое троянский вирус и методы удаления?
Прочитать
Что такое лжеантивирусы?
25.12.2023
Что такое лжеантивирусы?
Прочитать
«Казтелепорт» запустит солнечную электростанцию на территории ЦОД «Сайрам»
21.12.2023
«Казтелепорт» запустит солнечную электростанцию на территории ЦОД «Сайрам»
Прочитать
/news/statii/chto-takoe-besfaylovye-vredonosnye-programmy/