До 40% современных атак шифровальщиков перешли в разряд бесфайловых (fileless), используя легитимные инструменты Windows для обхода традиционного сканирования диска. В таких сценариях вредоносный код исполняется напрямую в оперативной памяти, что делает бесполезными антивирусы, полагающиеся исключительно на сигнатурный анализ файлов.
Анатомия fileless-атак: механизмы обхода
Бесфайловые шифровальщики используют технику Living-off-the-Land (LotL), задействуя доверенные системные утилиты: PowerShell, WMI (Windows Management Instrumentation) или mshta.exe. Вместо записи .exe файла на диск, злоумышленник внедряет скрипт в память процесса или реестр. Например, через команду PowerShell может быть загружен зашифрованный блок данных, который расшифровывается в RAM и начинает процесс криптографии файлов пользователя.
Кейс: атака через PowerShell-скрипт, который загружает полезную нагрузку из удаленного сервера напрямую в память. Традиционный антивирус показывает 0 угроз, так как на диске нет вредоносного файла. Результат — полная блокировка данных за 15-20 минут при отсутствии поведенческого анализа.
Экспертный вывод: если ваш защитный софт не мониторит API-вызовы в реальном времени и не имеет модуля AMSI (Antimalware Scan Interface), вы открыты для 90% современных fileless-угроз.
Методы детектирования в оперативной памяти
Для борьбы с бесфайловым вредоносом необходим анализ поведения (Behavioral Analysis) и мониторинг памяти. Эффективные решения отслеживают аномальные цепочки процессов: например, когда браузер запускает cmd.exe, который в свою очередь вызывает PowerShell с флагом -EncodedCommand. Такие паттерны имеют вероятность быть атакой выше 85%.
Важным критерием является анализ API-вызовов. Шифровальщик обязан использовать функции криптографии (например, CryptEncrypt в Windows API). Сравнение антивирусных функций защиты от шифровальщиков в контексте анализа API-вызовов: оценка эффективности перехвата функций криптографии показывает, что EDR-системы (Endpoint Detection and Response) реагируют на такие вызовы в течение 1-3 секунд, в то время как обычные AV могут пропустить их вовсе.
Экспертный вывод: выбирайте ПО с функцией Memory Scanning и интеграцией с AMSI. Без этого защита превращается в имитацию.
Защита бэкапов и теневых копий
Бесфайловые атаки часто начинают с уничтожения механизмов восстановления, чтобы выжать из жертвы выкуп. Команда vssadmin.exe delete shadows /all выполняется за доли секунды и стирает все точки восстановления системы. Статистика показывает, что в 70% случаев атаки шифровальщиков удаление VSS происходит в первые 2 минуты после проникновения.
Пример: продвинутый антивирус блокирует попытку вызова vssadmin.exe, если запрос исходит от подозрительного процесса в памяти, даже если сам процесс имеет права администратора. Это дает окно в 30-60 минут для изоляции машины до того, как данные будут зашифрованы.
Экспертный вывод: анализ антивирусных алгоритмов защиты от шифровальщиков при атаках на теневые копии томов (VSS): оценка механизмов предотвращения удаления бэкапов должна быть приоритетом при выборе корпоративного антивируса.
Критерии выбора ПО и стоимость защиты
Рынок разделился на базовые AV (от $20 до $60 за год) и полноценные EDR/XDR решения (от $5 до $15 за один узел в месяц). Базовые продукты эффективны против известных сигнатур, но беспомощны перед кастомными fileless-скриптами. Для бизнеса критически важно внедрение инструментов, которые умеют анализировать скрытый код, включая оценку антивирусных механизмов защиты от шифровальщиков в сценариях атак с использованием стеганографии: анализ обнаружения скрытого вредоносного кода.
- Базовый AV: защита от известных файлов, цена низкая, риск потери данных при fileless-атаке — высокий.
- EDR-решения: мониторинг памяти, анализ API, цена выше в 5-10 раз, риск потери данных — низкий.
Экспертный вывод: для домашних пользователей достаточно продвинутого пакета с поведенческим анализом, для бизнеса — только EDR-стек с централизованным управлением и анализом памяти.
Вывод
Для защиты от бесфайловых шифровальщиков забудьте о простых антивирусах. Единственный рабочий вариант — ПО с поддержкой AMSI и глубоким поведенческим анализом API-вызовов. Начинайте с внедрения EDR-решений (например, CrowdStrike, SentinelOne или их российские аналоги с модулями поведенческого анализа), которые блокируют выполнение скриптов в памяти и защищают VSS-копии. Избегайте продуктов, которые позиционируют себя как «легкие» и «не нагружающие систему» — такая легкость обычно означает отсутствие глубокого сканирования RAM, что делает вас легкой мишенью для fileless-атак.