Fileless malware: o ataque que não deixa arquivos para trás

Fileless malware (malware sem arquivo) é um tipo avançado de ataque cibernético que opera exclusivamente na memória volátil (RAM) do computador, sem instalar ou baixar arquivos maliciosos no disco rígido. Em vez de usar executáveis próprios, ele sequestra ferramentas legítimas e nativas do sistema operacional, como o PowerShell ou o Windows Management Instrumentation (WMI), para executar comandos maliciosos. Como não há arquivos físicos para serem escaneados, esse ataque torna-se praticamente invisível para a maioria dos antivírus tradicionais baseados em assinaturas.

Principais Aprendizados

• Invisibilidade: Reside na RAM e não deixa rastros no disco rígido, burlando escaneamentos padrão.
• Living off the Land (LotL): Utiliza ferramentas nativas e confiáveis do Windows para realizar ações maliciosas sem disparar alertas.
• Defesa Avançada: Requer soluções de Endpoint Detection and Response (EDR) que analisem o comportamento em vez de assinaturas de arquivos.

Como Funciona o Malware Sem Arquivo (Fileless)?

A premissa básica da segurança cibernética durante décadas foi escanear o disco rígido em busca de arquivos corrompidos ou maliciosos. O fileless malware subverte essa lógica. Ele se baseia em um conceito amplamente documentado na área de segurança chamado de Living off the Land (LotL), ou "viver da terra".

Em táticas de LotL, o invasor não traz suas próprias armas (arquivos executáveis maliciosos). Em vez disso, ele usa as ferramentas administrativas que já estão instaladas e são confiáveis pelo sistema. De acordo com o framework MITRE ATT&CK, que mapeia táticas de invasores, o uso abusivo de interpretadores de comandos como o PowerShell é uma das técnicas mais comuns e difíceis de bloquear, pois bloquear o PowerShell pode interromper o funcionamento de processos legítimos de TI da empresa.

A Anatomia de um Ataque Fileless

Embora não deixe arquivos, o ataque precisa de uma porta de entrada. Diferente de ameaças convencionais como vírus, worms, trojans, que exigem o download de um arquivo .exe, a cadeia de infecção fileless é muito mais sutil.

1. O Vetor de Infecção

Tudo geralmente começa com engenharia social. A vítima recebe um e-mail de phishing contendo um link malicioso ou um documento do Word/Excel. Quando a vítima abre o documento e habilita as macros, o ataque começa. Nenhum executável é baixado no disco; em vez disso, a macro aciona um script nativo do Windows.

2. Execução na Memória (RAM)

A macro maliciosa instrui o PowerShell a baixar uma carga útil (payload) diretamente na memória RAM do computador. A partir desse momento, o código malicioso está rodando ativamente, roubando dados ou abrindo portas para o invasor, mas sem tocar no disco rígido da máquina.

3. Persistência

O maior desafio do malware que vive na RAM é que, quando o computador é reiniciado, a memória RAM é apagada. Para sobreviver a reinicializações, o fileless malware altera chaves ocultas no Registro do Windows. Ele cria scripts que instruem o sistema a rodar o código malicioso na memória novamente assim que o Windows for iniciado.

Por que os Antivírus Tradicionais Falham?

Os antivírus clássicos funcionam como guardas de fronteira verificando passaportes: eles olham para a assinatura de um arquivo no disco e a comparam com um banco de dados de malwares conhecidos. Se não há arquivo, não há assinatura. Se não há assinatura, o antivírus não vê nada de errado.

Além disso, como o ataque usa processos legítimos (como o powershell.exe ou wmic.exe), o antivírus confia nessas aplicações. É uma invisibilidade que rivaliza com a de um rootkit, mas alcançada por vias completamente diferentes, sem precisar se esconder profundamente no kernel do sistema operacional.

Como Detectar e Prevenir Ataques Fileless

Proteger-se contra ameaças invisíveis exige uma mudança de paradigma. Não basta procurar o que é ruim; é preciso monitorar o comportamento do que é considerado bom. Muitas vezes, esses ataques são o estágio inicial de algo muito pior, como um ataque ransomware em grande escala ou a exploração de um ataque de dia zero.

• Endpoint Detection and Response (EDR): Segundo especialistas da CrowdStrike, soluções de EDR são fundamentais. Elas não buscam arquivos, mas monitoram atividades suspeitas. Se o PowerShell tentar se conectar a um IP estrangeiro desconhecido no meio da noite, o EDR bloqueia a ação.
• Desativar Ferramentas Desnecessárias: Se os funcionários não precisam usar o PowerShell ou o WMI para suas tarefas diárias, essas ferramentas devem ser desativadas ou ter seu acesso estritamente restrito via Políticas de Grupo (GPO).
• Princípio do Menor Privilégio: Garantir que os usuários não tenham direitos de administrador local evita que scripts maliciosos consigam alterar o Registro do Windows para obter persistência.

Perguntas Frequentes

O que é fileless malware?

É um tipo de software malicioso que não instala arquivos no disco rígido. Ele opera diretamente na memória RAM do computador, utilizando ferramentas legítimas do próprio sistema operacional para executar ataques cibernéticos.

Como um malware sem arquivo sobrevive quando o PC é reiniciado?

Como a memória RAM é apagada na reinicialização, o fileless malware costuma esconder scripts maliciosos no Registro do Windows ou cria tarefas agendadas. Assim, o próprio Windows recarrega a ameaça na memória toda vez que o computador é ligado.

Um antivírus comum pode detectar um ataque fileless?

Na maioria dos casos, não. Antivírus tradicionais dependem de assinaturas de arquivos físicos no disco. Para detectar ataques fileless, é necessário utilizar sistemas baseados em comportamento, como ferramentas de EDR (Endpoint Detection and Response).