El fileless malware, también llamado "malware sin archivos", se produce cuando el malware no entra en nuestro sistema a través de un documento o archivo específico, sino que en realidad se instala dentro de la memoria RAM del propio equipo y se desarrolla con distintos procesos. El malware sin archivos es un tipo de Amenaza Volátil Avanzada o AVT, un código malicioso diseñado para no escribirse en el disco duro y trabajar sólo desde la memoria RAM. Por ejemplo, el gusano CodeRed (y varios otros gusanos de principios de la década de 2000) fueron ejemplos típicos de malware sin archivos. Se propagaban como paquetes de red, residían solo en la memoria y se eliminaban al reiniciarse, aunque la máquina se volvía a infectar inmediatamente desde la red. No había archivos.

• La idea principal detrás de un ataque sin archivos es que la ejecución del código ocurre en la memoria en lugar de generar un proceso que ejecuta código compilado desde un archivo fuente.

Es común asociar al malware con algún archivo que descargamos y ejecutamos de forma desapercibida. Si bien este concepto no está del todo equivocado, la realidad es que también nos podemos encontrar con malware que no requiere de ningún archivo en el sistema para realizar su actividad maliciosa. Este tipo de amenaza se conoce como fileless malware, un concepto que no es nuevo y que ha estado en uso desde principios de la década del 2000.

Es lo que le pasó al Comité Nacional Demócrata de Estados Unidos a mediados de 2016, cuando un activista conocido como Guccifer 2.0 insertó un malware sin archivo en su sistema y consiguió acceder a 19.252 correos electrónicos y 8.034 archivos adjuntos. Fruto de esta intrusión, Wikileaks publicó una serie de filtraciones que acabarían perjudicando a Hillary Clinton, por entonces rival de Donald Trump.

Se ha observado que el grupo APT Lazarus, por ejemplo, distribuye documentos de MS Word que ejecutarán un ataque en memoria usando LOLBins, independientemente de si el archivo adjunto se abre en Windows o Mac.

Ejemplos de tipos de ataques sin archivo

1.  Documentos maliciosos
2.  Scripts maliciosos
3. Viviendo fuera de la tierra (Living off the Land Binaries - LoL) LOLBins
4. Código malicioso en la memoria

Scripts Maliciosos

Living Off The Land Binaries - LOLBins

LOLBins es el nombre abreviado de Living Off the Land Binaries, una técnica que se basa en aprovecharse de binarios propios del sistema para ocasionar un importante daño en un ataque, con una tasa de detección relativamente baja.

Cualquier ejecutable que venga instalado como parte de su sistema operativo de manera predeterminada que se pueda usar para promover un ataque puede considerarse un LOLBin. Además, los ejecutables agregados por los usuarios con fines legítimos podrían explotarse como un LOLBin, particularmente si es parte de alguna instalación de software de terceros común o ampliamente utilizada. En muchos escenarios, simplemente no es efectivo bloquear LOLBins ya que pueden ser esenciales para la productividad de algunos de los equipos de tu organización.

• https://lolbas-project.github.io/
• https://github.com/LOLBAS-Project/LOLBAS

Una vez que el código malicioso puede interactuar con los programas locales, posiblemente al iniciar la infección con un documento, el atacante puede hacer un mal uso de las utilidades integradas en el sistema operativo para descargar artefactos maliciosos adicionales, iniciar programas y scripts, robar datos, moverse lateralmente, mantener la persistencia, y más.

Debido a que las capacidades del software anti malware, son cada vez más avanzadas y se alejan de la vieja estrategia de la detección por firmas, permitiéndoles identificar actividades maliciosas por comportamiento

En general, los atacantes pueden usar LoLBins para:

• Descargar e instalar código malicioso
• Ejecutar código malicioso
• Bypass UAC
• Bypass del control de aplicaciones como (WDAC)

Las muchas herramientas que los atacantes invocan para estos fines incluyen regsvr32.exe, rundll32.exe, certutil.exe y schtasks.exe. Aquí hay una serie de artículos referidos a LoL utilizando mshta, rundll32, y regsvr32.

• powershell.exe
• bitsadmin.exe
• certutil.exe
• psexec.exe
• wmic.exe
• mshta.exe
• mofcomp.exe
• cmstp.exe
• windbg.exe
• cdb.exe
• msbuild.exe
• csc.exe
• regsvr32.exe
• node.exe
• netsh.exe
• rundll32.exe
• desktopimgdownldr.exe
• certutil.exe 
• wsl.exe 
• curl.exe
• conhost.exe
• finger.exe
  
• MpCmdRun.exe -DownloadFile (parte de Windows Defender)
• wuauclt.exe (Windows Update Client)

Ejemplo con Microsoft Malware Protection Command Line:

C:\ProgramData\Microsoft\Windows Defender\platform\4.18.2008.9-0\MpCmdRun.exe -url -path

Inyección en la memoria

La inyección en memoria utiliza características de Microsoft Windows para interactuar con el sistema operativo sin explotar vulnerabilidades. Por ejemplo, las llamadas a la API a menudo abusadas por malware para inyección incluyen VirtualAllocEx y WriteProcessMemory, que permiten que un proceso escriba código en otro proceso

¿Cómo evitar la infección de fileless malware? 

• No abrir adjuntos que nos hayan llegado por correo si la fuente no es de confianza. 
• Ataques RDP - Windows Remote Desk Protocol (RDP)
• Generar logs exhaustivos de la utilización de Powershell. Esta funcionalidad está activada por defecto en la versión 5 y posteriores.
• Controlar el repositorio WMI para encontrar suscripciones sospechosas utilizando Powershell.
• Deshabilitar la ejecución de macros de manera automática en Office, ya que es un mecanismo común de propagación. Las macros se pueden deshabilitar globalmente vía Group Policy.
•  Utilizar soluciones de seguridad que analicen el tráfico de red 
•  Utilizar soluciones de seguridad que analicen el comportamiento sospechoso en la memoria. Estas soluciones son capaces de identificar malware que reside en memoria. Mantener el sistema operativo y las aplicaciones con sus actualizaciones de seguridad al día. Utilizar defensa en capas (Anti-Spam y NIDS son algunas recomendaciones).