بدافزار بدون فایل (Fileless Malware) یکی از پیشرفتهترین تهدیدهای امنیت سایبری است که بدون ایجاد هیچ فایل مخربی روی هارد دیسک، مستقیماً در حافظه سیستم اجرا میشود. همین ویژگی باعث شده شناسایی آن برای آنتیویروسهای سنتی بسیار دشوار باشد. در این مقاله بهطور کامل بررسی میکنیم Fileless Malware چیست، چگونه کار میکند، چه انواعی دارد و چطور میتوان آن را شناسایی و متوقف کرد.
بدافزار بدون فایل چیست؟
بدافزار بدون فایل (Fileless Malware) نوعی بدافزار است که بدون ذخیره فایل روی هارد دیسک، در حافظه RAM اجرا میشود و با سوءاستفاده از برنامههای قانونی مانند PowerShell، از شناسایی آنتیویروسهای سنتی عبور میکند.
بدافزار بدون فایل به انگلیسی Fileless Malware در واقع نوعی کد مخرب است که بهجای ذخیره شدن روی هارد دیسک، مستقیماً در حافظه (RAM) کامپیوتر اجرا میشود. این نوع بدافزار بهجای استفاده از فایلهای مخرب، از برنامههای قانونی و در ظاهر بیخطر برای آلودهسازی سیستم شما سوءاستفاده میکند. به آن «بدون فایل» گفته میشود، زیرا هنگام آلوده شدن سیستم، هیچ فایلی روی هارد دیسک دانلود یا ذخیره نمیشود.
همین ویژگی باعث میشود تحلیل بدافزارهای بدون فایل نسبت به شناسایی و از بین بردن ویروسها و سایر انواع بدافزارهایی که مستقیماً روی هارد دیسک نصب میشوند، دشوارتر باشد. از آنجا که حملات بدافزار بدون فایل نیازی به فایلهای مخرب ندارند، ابزارهای آنتیویروس سنتی که با اسکن سختافزار بهدنبال تهدیدها میگردند، ممکن است این نوع حملات را بهطور کامل نادیده بگیرند.
البته این به آن معنا نیست که شناسایی بدافزار بدون فایل غیرممکن است. بدافزارهای بدون فایل شامل کدی هستند که میتوانند بسیاری از کارهایی را انجام دهند که ویروسهای معمولی انجام میدهند؛ از جمله استخراج و ارسال غیرمجاز دادهها. چنین فعالیتهای مخربی میتوانند باعث فعال شدن اسکنهای امنیتی شوند. در این مرحله، تیمهای امنیتی میتوانند اقدامات مقابله با بدافزار بدون فایل را آغاز کنند؛ اقداماتی که اغلب شامل بررسی خطوط فرمان برنامههای مورد اعتماد، مانند Microsoft Windows PowerShell (که برای خودکارسازی وظایف استفاده میشود)، است. بهنوعی، اگرچه بدافزار بدون فایل میتواند اجرا شود، اما نمیتواند کاملاً پنهان بماند.
بدافزار بدون فایل (Fileless Malware) چگونه کار میکند؟
بدافزار بدون فایل با ورود مستقیم به حافظه (RAM) کامپیوتر شما عمل میکند. این یعنی کد مخرب هرگز وارد هارد دیسک نمیشود. شیوهی ورود آن به سیستم، شباهت زیادی به روشهای رایج نفوذ سایر بدافزارها دارد.
برای مثال، کاربر فریب میخورد و روی یک لینک یا پیوست کلیک میکند که هکر آن را در یک ایمیل فیشینگ قرار داده است. مهاجم ممکن است با استفاده از مهندسی اجتماعی، احساسات قربانی را دستکاری کند تا او را به کلیک روی لینک یا فایل پیوست ترغیب کند. پس از آن، بدافزار وارد سیستم میشود و شروع به گسترش از یک دستگاه به دستگاه دیگر میکند.
مهاجمان از بدافزار بدون فایل برای دسترسی به دادههایی استفاده میکنند که میتوانند آنها را سرقت کرده یا برای مختل کردن عملیات یک سازمان بهکار ببرند. این نوع بدافزار با سوءاستفاده از برنامههایی که مدیران سیستم معمولاً به آنها اعتماد دارند—مانند اسکریپتهای ویندوز یا PowerShell—خود را پنهان میکند. اغلب این برنامهها در فهرست سفید (Whitelist) سازمانها قرار دارند. بدافزار بدون فایل یک برنامهی مستقل و مشکوک نیست که بهصورت یک فایل جداگانه روی هارد دیسک وجود داشته باشد؛ بلکه یک برنامهی مورد اعتماد را آلوده و خراب میکند و همین موضوع شناسایی آن را دشوارتر میسازد.
قویترین «ویژگی» بدافزار بدون فایل—حداقل از دید مهاجمان—این است که برای ورود به کامپیوتر شما نیازی به دور زدن آنتیویروسها ندارد. دلیلش این است که بدافزار بدون فایل خطوط فرمان (Command Lines) را تغییر میدهد؛ یعنی همان خطوط کدی که به برنامهها میگویند چه کاری انجام دهند. یک آنتیویروس معمولی ممکن است نتواند این تهدید را تشخیص دهد، زیرا هیچ فایل غیرعادی یا مشکوکی وجود ندارد که به آن نسبت داده شود.