El malware fileless s'ha convertit en un dels mals de cap més seriosos per a equips de seguretat i administradors de sistemes. A diferència del codi maliciós clàssic, no es recolza en fitxers executables emmagatzemats al disc, sinó que viu gairebé per complet en la memòria i es palanqueja en processos i eines legítimes del propi sistema. Això fa que molts antivirus tradicionals, que segueixen mirant bàsicament arxius en disc, ni ho fan olor.
A sobre, els atacants combinen el codi maliciós sense arxius amb enginyeria social, exploits i eines d'administració com PowerShell, WMI o scripts d'Office. Resultat: un tipus d'atac molt sigil·lós, ideal per a campanyes d'espionatge, robatori de credencials, ransomware o moviments laterals prolongats dins d'una xarxa corporativa, en moltes ocasions gairebé sense deixar rastre forense.
Què és exactament el malware fileless?
Quan parlem de codi maliciós sense fitxers ens referim a codi maliciós que no necessita afegir nous executables al sistema de fitxers per operar. Normalment, l'atacant injecta la seva càrrega en processos que ja estan en marxa o aprofita eines de scripting i automatització del propi sistema operatiu per executar la seva lògica a la RAM de l'equip.
En comptes de deixar anar un típic .exe maliciós, aquest tipus d'amenaça s'enfoca a corrompre aplicacions fiables (PowerShell, WMI, navegadors, aplicacions d'Office, etc.) oa abusar de funcions embegudes en documents (macros, DDE, vulnerabilitats en lectors de PDF). D'aquesta manera, el codi hostil s'executa mitjançant processos perfectament legítims a ulls de moltes solucions de seguretat.
Una conseqüència directa és que no hi ha “arxiu rar” per escanejar ni firma evident per comparar. El codi es carrega en memòria, s'executa, fa la seva feina (robar dades, desplegar un backdoor, xifrar fitxers, moure's per la xarxa…) i moltes vegades desapareix en reiniciar, llevat que l'atacant hagi muntat algun mecanisme de persistència.
Convé matisar que no tot atac fileless és 100% sense empremta en disc. De vegades hi ha un document, script o exploit inicial, però el comportament clau (la part perillosa) s'executa directament des de memòria i tracta d'eliminar o minimitzar els rastres al sistema de fitxers.
Trets característics i per què és tan difícil de detectar
Una de les senyes d'identitat del malware fileless és la seva execució purament en memòria , cosa que complica detectar processos ocults i rootkits . La càrrega maliciosa s'injecta en processos ja existents, o s'interpreta des d'un script, i es queda a RAM mentre l'equip està encès. Molts mecanismes de detecció basats en disc senzillament ni s'assabenten del que està passant.
Un altre tret important és que, en general, té una persistència limitada si no es planteja un truc addicional . Com que la RAM és volàtil, en reiniciar el sistema aquesta part de l'atac s'esfuma. Els actors d'amenaces ho saben, així que sovint complementen la part fileless amb tècniques com a ús del Registre de Windows, tasques programades o subscripcions WMI per assegurar que l'accés es manté en el temps.
A més, aquest tipus d'atacs es recolza en el concepte de “living off the land” : aprofitar eines que ja vénen amb el sistema -PowerShell, WMI, .NET, utilitats de Windows signades per Microsoft- en lloc d'introduir binaris externs. Això implica que l?atacant es camufla entre l?administració legítima de l?entorn, cosa que, en xarxes corporatives grans, és ideal per passar desapercebut durant mesos.
Tot això fa que les solucions basades en firmes i llistes blanques tinguin un paper força limitat. Si l'antivirus està pensat per identificar executables sospitosos o bloquejar programes no autoritzats, però l'atac s'executa dins de PowerShell, Word o un procés del sistema, el marge de maniobra es redueix dràsticament.
Finalment, els artefactes forenses que deixa el codi maliciós fileless solen ser escassos o molt subtils. De vegades parlem només d'una clau de registre estrany, una subscripció WMI fora de lloc o ordres estranyes en logs de PowerShell. Sense una política de registre agressiva i una supervisió activa, aquests senyals es perden al soroll.
Vectors d'entrada i de funcionament típic d'un atac fileless
Tot i que la part “sense arxius” se centra en memòria, l'atac comença gairebé sempre igual que qualsevol altra intrusió : mitjançant un vector inicial que obre la porta a l'adversari. Els més habituals segueixen sent el correu electrònic i el web, acompanyats d'enginyeria social o explotació de vulnerabilitats.
És molt típic que la víctima rebi un document d'Office amb macros , un fitxer PDF amb JavaScript maliciós o un enllaç en un correu de phishing que porta a una web compromesa. En obrir-lo o fer clic, el document executa una macro o explota una vulnerabilitat i llança un script de PowerShell o una ordre WMI que descarrega i executa la càrrega maliciosa directament en memòria.
En altres escenaris, l'atacant aprofita credencials robades per accedir a un equip i des d'aquí executar scripts d'administració que carreguen el codi maliciós en memòria sense gravar mai un .exe al disc. També hi ha casos 100 % fileless on s'explota una vulnerabilitat de xarxa -per exemple al protocol SMB- que permet injectar una porta del darrere directament al nucli o en processos del sistema.
Un cop dins, el flux típic passa per diverses fases: accés inicial, establiment de persistència (si en necessiten), robatori de dades o moviment lateral, i finalment exfiltració o execució d'una altra càrrega (com ransomware). En cadascuna d'aquestes etapes es poden combinar tècniques fileless amb altres tipus de codi maliciós (malware) per crear campanyes molt complexes.
Algunes famílies d'amenaces han abusat massivament de webshells a servidors on les peticions HTTP porten components maliciosos que s'injecten en memòria sense bolcar res al disc. També s'han vist atacs a entitats financeres en què PowerShell es feia servir per manipular processos legítims i robar informació sense deixar executables sospitosos que un antivirus pogués detectar amb facilitat.
Eines i tècniques més usades en atacs sense fitxers
A l'ecosistema Windows, els atacants recorren constantment a PowerShell per la seva potència i flexibilitat. És un llenguatge de scripting molt complet, amb accés a .NET, WMI, al Registre, a serveis de xarxa, a fitxers i pràcticament a qualsevol racó del sistema. Amb unes poques línies es pot descarregar codi dInternet, executar-lo en memòria i esborrar els rastres visibles.
Una altra peça clau és WMI (Windows Management Instrumentation) , juntament amb el seu equivalent estàndard CIM. Aquestes interfícies permeten consultar i modificar multitud dobjectes del sistema, disparar accions en resposta a esdeveniments concrets i gestionar remotament equips. Els atacants les usen tant per a postexplotació com per a persistència, mitjançant filtres d'esdeveniments i consumidors que executen ordres quan es compleixen determinades condicions.
El .NET Framework (o .NET Core) funciona com la bastida tècnica sobre la qual es recolzen moltes d'aquestes tècniques. A través de les seves biblioteques, el codi maliciós pot interactuar amb objectes WMI, COM, DCOM i altres components, de forma molt similar a com ho faria un administrador que empra scripts legítims.
També destaca l'abús del Registre de Windows com a magatzem de codi i mecanisme d'arrencada. En aquests atacs, l'executable inicial es pot autodestruir després d'escriure la càrrega al registre, de manera que la part maliciosa sobreviu sense un arxiu evident, activant-se més tard des de claus concretes quan es compleixen certes condicions.
Al costat de tot això, els atacants se serveixen d' utilitats signades per Microsoft com a rundll32, mshta i altres binaris de sistema que permeten executar scripts o DLLs. Com que són components de confiança, bloquejar-los de forma general tindria un impacte seriós en l'operativa normal de l'empresa, cosa que deixa les defenses en una posició incòmoda.
Tipus de codi maliciós i campanyes que aprofiten tècniques fileless
Dins la categoria fileless trobem diverses modalitats d'atac que aprofiten aquesta capacitat d'operar en memòria o de recolzar-se en artefactes mínims al sistema. Una de les més conegudes és el programari maliciós resident en memòria , que utilitza la memòria d'un procés legítim de Windows per allotjar el seu codi. Aquest codi pot quedar inactiu fins que es compleixi una condició concreta, moment en què s'activa sense que hi hagi evidència al disc.
Una altra variant és el codi maliciós que es recolza en el Registre de Windows . Aquí la càrrega maliciosa s'emmagatzema com a dades al registre i s'executa mitjançant scripts o processos que llegeixen i llancen aquest contingut quan arrenca el sistema o es produeix un esdeveniment específic. L'executable que va originar tot pot haver desaparegut fa molt, dificultant la investigació forense.
Lús de credencials robades encaixa molt bé amb aquest enfocament. Quan l'atacant entra amb un usuari legítim, podeu invocar scripts en memòria, col·locar fragments de codi al registre o en subscripcions WMI i moure's per la xarxa amb aparença de trànsit d'administració normal. En entorns grans, distingir això de les operacions de TI legítimes és tot un repte.
No es queden fora les variants de ransomware sense fitxers , en què la càrrega que xifra les dades es llança directament des de memòria, de vegades executada per PowerShell o una altra eina del sistema. En aquests casos, la detecció sol arribar quan els fitxers ja estan xifrats, perquè l'única cosa visible fins aleshores han estat processos en aparença fiables.
També apareixen els anomenats kits d'explotació , conjunts d'eines que s'encarreguen de detectar vulnerabilitats a la màquina víctima després d'una primera intrusió –sovint via un enllaç maliciós– i construir exploits a mida. Un cop dins, carreguen el codi en memòria i es recolzen en scripts per mantenir el control i escalar privilegis.
Impacte en empreses i limitacions de les defenses clàssiques
Per a les organitzacions, el gran problema del malware fileless és que no n'hi ha prou amb bloquejar executables sospitosos per estar fora de perill. No es pot desactivar alegrement PowerShell, bloquejar tots els documents amb macros o prohibir lús de WMI sense trencar processos legítims dadministració, automatització de tasques o productivitat diària.
Alhora, els antivirus centrats en firmes d'arxius i llistes blanques es troben gairebé cecs. L'atac fa servir les mateixes peces que el sistema i que les eines de TI necessiten per funcionar. Sovint, ni tan sols hi ha un hash estrany per pujar al núvol del proveïdor per demanar veredicte: el codi ja s'ha executat des de memòria.
Els intents de resposta per part de molts fabricants han passat per bloquejos parcials o pegats que no acaben de resoldre el problema: limitar l'ús de PowerShell, endurir macros d'Office, aplicar controls al núvol que depenen de tenir connectivitat constant, etc. Però els atacants han après a sortejar aquestes traves, per exemple carregant PowerShell a través de DLLs, ofuscant scripts o empaquetant codi en imatges i altres formats de dades.
A més, la pròpia pressió comercial ha portat algunes solucions a prometre protecció fileless amb enfocaments que es queden curts, com ara analitzar estàticament el codi de macros o limitar-se a reputacions de scripts conegudes. Atès que els adversaris poden variar les seves eines gairebé al gust, una aproximació estrictament basada en firmes o regles estàtiques tendeix a quedar obsoleta amb rapidesa.
A això se suma que molts mecanismes de detecció del costat del servidor o al núvol afegeixen latència a la resposta . Si lagent en lendpoint ha desperar la decisió remota per actuar, la prevenció en temps real es complica, sobretot en atacs extremadament ràpids com certs tipus de ransomware o cucs de xarxa.
Com detectar el malware fileless: focus en el comportament
La lliçó principal de tots aquests casos és clara: la forma més eficaç de localitzar codi maliciós sense arxius és vigilar el que fan els processos , no tant quins arxius hi ha al disc, per exemple amb Process Explorer i VirusTotal . Tot i que hi hagi milers de variants diferents, al final el repertori de comportaments sospitosos és molt més acotat que el de possibles binaris maliciosos.
Les solucions modernes tipus EDR i plataformes amb IA de comportament monitoritzen trucades al sistema, arguments de línia de comandes, accessos al registre, connexions de xarxa, creació de processos fills, modificacions en scripts, etc. A partir d'aquí, construeixen una mena d'història de cada cadena d'execució, cosa que permet identificar quan un procés legítim es converteix en l'arrel d'una activitat anòmala.
Alguns fabricants representen això com una línia temporal d'esdeveniments on es veu, per exemple, com un usuari obre un document d'Outlook, aquest document dispara una macro que llança PowerShell amb arguments ofuscats, i aquest PowerShell intenta descarregar i executar una càrrega des d'Internet. Encara que no hi hagi cap exe sospitós en disc, la correlació del flux fa cantós l'atac.
Aquest enfocament centrat en el comportament té l'avantatge de ser independent del vector . És igual si la intrusió arriba per un exploit en Flash, per una macro de Word o per un enllaç en un correu. Si el resultat és un procés que comença a xifrar dades, injectar codi o comunicar-se amb un servidor de comandament i control, el sistema el pot detectar i bloquejar.
Combinat amb capacitats de rollback o reversió de canvis maliciosos, això permet no només aturar l'atac sinó també reparar Windows després d'una infecció greu , restaurar arxius xifrats, desfer modificacions al registre o matar processos penjats del flux maliciós. Des del punt de vista de continuïtat de negoci, aquesta diferència és enorme davant d'un antivirus que només avisa quan ja és tard.
Estratègies pràctiques per detectar fileless en entorns Windows
A més de comptar amb una solució avançada d'endpoint, hi ha una sèrie de mesures tècniques que ajuden moltíssim a descobrir indicis de codi maliciós sense arxius a la infraestructura. La primera és adoptar una política de logging agressiva, especialment pel que fa a PowerShell i WMI.
Les versions modernes de PowerShell permeten registrar detalladament les ordres executades , les seqüències de scripts i l'ús de certs paràmetres perillosos com ExecutionPolicy Bypass. Analitzar aquests logs a la recerca de patrons sospitosos -descàrregues des de dominis estranys, càrregues en memòria, ofuscació evident- pot destapar campanyes que altrament passarien inadvertides.
Una altra línia de defensa consisteix a inspeccionar periòdicament el repositori WMI a la recerca de subscripcions o filtres d'esdeveniments fora del normal. Mitjançant ordres per diagnosticar problemes de PowerShell es poden llistar classes com __EventFilter, CommandLineEventConsumer o __FilterToConsumerBinding i comprovar si hi ha elements que no encaixen amb les tasques legítimes d'administració.
També convé revisar tasques programades i claus de registre d'arrencada , sobretot aquelles que llancen scripts o intèrprets com PowerShell, cscript o wscript. Molts atacs fileless recorren a aquests mecanismes per recuperar el codi des de memòria, des del propi registre o des d'un servidor remot cada cop que el sistema s'inicia o l'usuari inicia sessió.
En casos més avançats, és recomanable recolzar-se en eines com Sysmon de Sysinternals per generar esdeveniments d'alt detall sobre creació de processos, connexions de xarxa, modificacions de registre, etc., i abocar-los a un SIEM o plataforma d'anàlisi centralitzada. A partir d'aquí, es poden crear regles per alertar de comportaments típics de campanyes conegudes o fer servir utilitats com RootkitRevealer per detectar artefactes persistents.
Bones pràctiques per prevenir infeccions de malware sense fitxers
Al terreny de la prevenció, el primer pilar continua sent reduir al mínim els vectors d'infecció clàssics : evitar que l'usuari executi documents perillosos, fer difícil l'explotació de vulnerabilitats i limitar el moviment lateral en cas que hi hagi una bretxa.
És gairebé obligatori deshabilitar o restringir les macros de l'Office sempre que sigui viable, idealment mitjançant directives de grup (GPO). Les macros haurien d'estar permeses només quan hi hagi una necessitat real i, si és possible, signades digitalment. El mateix criteri s'aplica a altres continguts actius com ara DDE o controls ActiveX en documents.
També és important comptar amb solucions de seguretat de xarxa que vigilin el trànsit a la recerca d'exploits, kits d'explotació i comportaments anòmals. Sistemes de prevenció d'intrusions (IPS) i tecnologies com Network Attack Prevention poden tallar molts atacs abans que les càrregues fileless arribin a l'endpoint.
A nivell d'endpoints, resulta clau desplegar eines capaces d' analitzar la memòria a la recerca de comportament maliciós , no només de fitxers de disc. Motors d'escaneig avançat a RAM poden identificar patrons típics d'injecció de codi, shellcode, payloads de ransomware o backdoors que s'amaguen en processos de sistema.
Finalment, res d'això no funciona sense una bona higiene bàsica : aplicar pegats de seguretat amb regularitat, mantenir aplicacions i sistemes operatius al dia, segmentar la xarxa per dificultar el moviment lateral, implantar MFA i controlar amb rigor els comptes amb privilegis elevats.
La combinació de tot això, juntament amb una genuïna cultura de seguretat – formació contínua , simulacions de phishing, procediments clars de resposta a incidents- és el que marca la diferència entre una organització que detecta un atac fileless en les primeres fases i una altra que se n'assabenta quan ja té els seus servidors xifrats o les seves dades exfiltrades.
