如何抵禦無文件型惡意軟件攻擊

目前，針對企業環境的無文件型惡意軟件威脅正在日趨增長。無文件型惡意軟件所使用的代碼不需要駐留在目標Windows設備上，而普通的Windows安裝程序涉及到很多的東西：PowerShell、WMI、VB、註冊表鍵和.NET框架等等，但對於無文件型惡意軟件來說，它們在實現目標主機感染時，並不需要通過文件來調用上述組件。

這個過程通常被稱之為Process Hollowing，在這種機制下，惡意軟件可以使用一個特定進程來作為惡意代碼的存儲容器以及分發機制。近期研究人員就發現有攻擊者將PowerShell、VB腳本和.NET應用整合進了一個代碼包中。

利用PowerShell來實現攻擊已經很常見了，基於PowerShell的漏洞攻擊殺傷力有多麼強大，因為惡意代碼可以直接在PC內存中執行。此外，PowerShell還可以用於遠程訪問攻擊或繞過應用白名單保護等等。

鑑於這類日趨嚴重的安全威脅，安全團隊可以做些什麼來保護他們的組織抵禦無文件型惡意軟件呢？

確保公司內部環境的安全

為了抵禦無文件型惡意軟件的攻擊，首先我們要確保組織網絡系統內的計算機安裝了最新的補丁程序。很多攻擊者會利用舊版本系統中未修復或延遲修復的漏洞，而“永恆之藍”漏洞就是一個很好的例子（該漏洞的補丁要先於漏洞利用程序的發佈）。

接下來，要設計一個強有力的安全意識培訓方案。這並不意味著要定期進行安全練習，或偶爾向員工發送釣魚測試郵件。這裡需要我定一套安全操作流程，並且讓員工有效地意識到電子郵件附件的危險性，防止員工無意識地點擊陌生鏈接。因為很多無文件型惡意軟件攻擊都是通過一封簡單的網絡釣魚郵件開始的，因此這樣的安全培訓或操作方案是非常重要的。

第三，安全團隊需要了解Windows內置代碼的操作行為，這樣就可以在第一時間發現異常情況。比如說，如果在/TEMP目錄中發現了隱藏的PowerShell腳本，那就需要小心了。

更新訪問權限和特權賬號

組織應該瞭解無文件型惡意軟件的攻擊機制，因為就算點擊了一封郵件中的惡意附件，也並不意味著電腦就會立即感染惡意軟件。因為很多惡意軟件會在目標系統所處的網絡環境中進行橫向滲透，並尋找更加有價值的攻擊目標，比如說域控制器或Web服務器等等。為了防止這種情況的發生，應該對組織內的網絡系統以及相應訪問權限進行仔細劃分，尤其是針對第三方應用程序和用戶進行劃分。

當惡意軟件成功滲透目標組織的網絡系統後，隨著惡意軟件的橫向滲透，攻擊者可以利用PowerShell來實現提權。比如說，攻擊者可以發送反向DNS請求，枚舉出網絡共享的訪問控制列表，並查找出特定域組的成員。

因此，安全團隊應當遵循“最少權限”的原則，及時檢查已過期賬戶的訪問權限，並根據需要限制某些賬號的特權。除此之外，組織還要禁用那些不需要的Windows程序，因為並不是每個員工都需要在自己的計算機上運行PowerShell或.NET框架的。當然了，也可以移除像SMBv1這樣的遺留協議，而這類協議也是WannaCry能夠為非作歹的主要原因。

最後，為了確保不被攻擊者利用MS Office惡意宏來實現攻擊，也應該儘可能地禁用宏功能，不過這並不是一種通用解決方案，因為很多用戶仍然需要宏功能來完成他們的工作。

部署SSL證書，使用HTTPS加密傳輸協議

HTTPS是一項相對安全的加密傳輸協議，是HTTP的升級版。HTTPS=HTTP+SSL,其中SSL及其繼任者TLS是為網絡通信提供安全及數據完整性的一種安全協議。TLS與SSL在傳輸層對網絡連接進行加密，防止傳輸數據被他人竊取、窺視或篡改。

抗爭到底！

雖然無文件攻擊日益猖獗，但微軟方面並沒有停滯不前。實際上，他們已經開發出了一個名為“反惡意軟件掃描接口”的開放接口，而且很多供應商已經開始使用它來檢測無文件型惡意軟件攻擊了，尤其是在分析腳本行為時，這個接口的作用就體現得更加明顯了。

此外，任何想要深入瞭解無文件型攻擊的研究人員都應該去看一看開源項目-AltFS。這是一個完整的無文件型虛擬文件系統，可以用來演示無文件技術的工作機制，而且該項目可以直接在Windows或macOS平臺上搭建使用。

正如大家所看到的那樣，對抗無文件攻擊需要我們紮紮實實地做好很多細節工作，並在各種工具與技術之間進行仔細協調。隨著越來越多不可預見的惡意軟件威脅出現，各大組織更應該採取措施來加強自身的安全防禦。

文章來源於：FreeBuf