До 40% современных атак шифровальщиков перешли в разряд fileless, используя легитимные процессы Windows для исполнения вредоносного кода прямо в RAM. Традиционный сигнатурный анализ здесь бесполезен, так как на диске нет исполняемого файла, который можно было бы просканировать.
Механика fileless-атак и инъекции кода
Бесфайловые шифровальщики используют техники Process Hollowing или DLL Injection, чтобы внедрить вредоносный код в адресное пространство доверенных процессов, таких как explorer.exe или svchost.exe. В типичном сценарии через PowerShell или WMI-скрипт в память загружается шелл-код объемом от 10 до 50 КБ, который затем разворачивает основной модуль шифрования. Это позволяет обходить стандартные фильтры файловой системы, так как активность выглядит как работа системного процесса.
Мини-кейс: атака через PowerShell, где команда загрузки кода замаскирована под Base64-строку. Антивирус, проверяющий только файлы, пропустит запуск, так как исполняется доверенный системный бинарник. Экспертный вывод: защита, опирающаяся на сканирование диска, имеет нулевую эффективность против таких векторов.
Мониторинг RAM: поиск аномалий памяти
Продвинутые антивирусные алгоритмы переходят к анализу прав доступа к страницам памяти. Ключевой индикатор — появление сегментов с правами RWX (Read-Write-Execute). В нормальном состоянии легитимные программы редко создают области памяти, которые одновременно доступны для записи и исполнения. Обнаружение такого сегмента в процессе, который обычно имеет только RX или RW, с вероятностью 85-90% указывает на инъекцию стороннего кода.
Практика показывает, что сканирование памяти каждые 30-60 секунд создает нагрузку на CPU в пределах 2-5%, что приемлемо для рабочих станций. Однако при попытке шифровальщика начать массовый обход файлов, всплеск активности в RAM становится критическим маркером. Экспертный вывод: мониторинг прав доступа к страницам памяти — единственный надежный способ обнаружить скрытый код до начала массового шифрования.
Поведенческий анализ API-вызовов в реальном времени
Шифровальщики в памяти неизбежно обращаются к специфическим функциям Windows API: VirtualAllocEx для выделения памяти, WriteProcessMemory для записи кода и CreateRemoteThread для его запуска. Современные EDR-решения (Endpoint Detection and Response) отслеживают цепочки этих вызовов. Если последовательность выглядит как â“выделение памяти – запись – запускâ” в течение 100-500 мс, система блокирует процесс.
Сравнение: обычный антивирус видит результат (зашифрованные файлы), а поведенческий анализ в RAM видит намерение. В среднем, время реакции поведенческого анализа составляет от 10 мс до 2 секунд с момента первой подозрительной операции. Экспертный вывод: необходимо выбирать ПО, которое интегрирует хуки на уровне ядра (Kernel-mode drivers) для перехвата API-вызовов, иначе атакующий просто «ослепит» антивирус в пользовательском режиме.
Борьба с обфускацией и полиморфизмом в RAM
Чтобы скрыть свое присутствие, шифровальщики используют динамическую распаковку кода в памяти. Они хранят полезную нагрузку в зашифрованном виде и расшифровывают её порциями прямо перед исполнением. Для борьбы с этим используются алгоритмы эмуляции или «песочницы в памяти», где подозрительный поток кода исполняется в изолированной среде на несколько миллисекунд для анализа его истинного поведения.
Ошибка многих администраторов — отключение функций глубокого анализа памяти для экономии ресурсов (снижение нагрузки с 5% до 1% CPU). В итоге пропускаются полиморфные угрозы, которые меняют свой код каждые несколько часов. Экспертный вывод: экономия 2-3% производительности процессора не оправдывает риск потери всех данных из-за одного пропущенного fileless-шифровальщика.
Интеграция с системными методами защиты
Анализ RAM эффективен только в связке с другими уровнями защиты. Например, если шифровальщик пытается закрепиться в системе, он может использовать MBR или защищенные папки. Важно, чтобы антивирусная защита от шифровальщиков: системный анализ методов предотвращения запуска и критерии выбора ПО по типу векторов атаки была настроена на корреляцию событий: подозрительный вызов в RAM – попытка записи в системную папку – изменение MBR.
Пример: если система фиксирует RWX-сегмент в памяти и одновременно с этим попытку модификации реестра для автозагрузки, уровень угрозы повышается до «критического» мгновенно. Экспертный вывод: ищите комплексные решения, где модуль анализа памяти обменивается данными с модулем контроля доступа к файлам.
Вывод
Для защиты от современных fileless-угроз забудьте о простых сканерах. Вам нужно решение с полноценным EDR-функционалом, которое поддерживает мониторинг RWX-страниц памяти и перехват API-вызовов на уровне ядра. Избегайте продуктов, которые позиционируют себя как «легкие» за счет отказа от поведенческого анализа памяти — это создает критическую дыру в безопасности. Начинайте с внедрения инструментов, способных обнаруживать инъекции кода в реальном времени, так как это единственная точка остановки атаки до того, как ключи шифрования будут сгенерированы, а данные — уничтожены.