Malware fileless: por qué el análisis sale limpio y qué significa eso en realidad

Si un equipo se comporta mal y todos los análisis salen limpios, «malware fileless» (sin archivos) es la expresión a la que se recurre. Es una categoría real, pero también se usa de forma mucho más laxa de lo que admiten la mayoría de los artículos, y esa imprecisión es lo primero que conviene aclarar.

No hay una definición única, y Microsoft lo dice

Este es el punto de partida honesto. La propia documentación de Microsoft afirma que no existe una única definición de malware fileless, que el término se usa de forma amplia y que a veces se aplica a familias de malware que sí dependen de archivos para funcionar.

Así que cuando una página te dice que el malware fileless «nunca toca el disco», está describiendo un caso concreto como si fuera toda la categoría. El marco útil es el de Microsoft, que ordena estas amenazas en tres tipos según la huella que dejan.

Tipo I: ninguna actividad de archivos

Este es el caso que coincide con la imagen popular, y es el más raro.

El ejemplo que da Microsoft: un equipo recibe paquetes de red maliciosos que explotan la vulnerabilidad EternalBlue, lo que instala la puerta trasera DoublePulsar, que acaba residiendo solo en la memoria del kernel. No se escribe nada en un archivo.

La misma categoría cubre el código malicioso escondido en el firmware de un dispositivo, como una BIOS, en un periférico USB mediante la técnica BadUSB, o en el firmware de una tarjeta de red. Y aquí está la frase en la que merece la pena detenerse: ese código sobreviviría a los reinicios, a los formateos de disco y a las reinstalaciones del sistema operativo.

Microsoft es igual de claro sobre los límites. Estas infecciones son difíciles de detectar porque la mayoría de los antivirus no pueden inspeccionar el firmware, la remediación a ese nivel es realmente complicada, y los ataques exigen un alto grado de sofisticación y hardware específico. Son poco comunes y no prácticos para la mayoría de los ataques. Si te preguntas si es esto lo que le ha pasado a tu portátil, casi con toda seguridad no lo es.

Tipo II: actividad de archivos indirecta

Aquí es donde el asunto se vuelve práctico, y donde el instinto de eliminar empieza a fallar.

El ejemplo es la puerta trasera Poshspy: los atacantes instalaron un comando PowerShell malicioso dentro del repositorio WMI y configuraron un filtro WMI para ejecutarlo periódicamente. El malware no escribe ningún archivo directamente.

El repositorio WMI sí reside en un archivo físico. Pero Microsoft lo clasifica igualmente como fileless, y el motivo que da es lo importante: el repositorio es un contenedor de datos multipropósito que no se puede detectar ni eliminar. Contiene datos legítimos del sistema. No puedes ponerlo en cuarentena, y borrarlo no es una opción.

Esa es la diferencia entre «oculto» y «no eliminable por los medios habituales». Un antivirus puede estar perfectamente sano y aun así no tener nada sobre lo que actuar.

Tipo III: archivos necesarios, pero inútiles para ti

El ejemplo aquí es Kovter, que crea un controlador del verbo open en el registro para una extensión de archivo aleatoria. Abrir un archivo con esa extensión ejecuta un script a través de la herramienta legítima mshta.exe, que lee más datos de otra clave del registro y carga el payload.

Kovter sí deja archivos. Pero Microsoft lo considera fileless porque el sistema de archivos no tiene ninguna utilidad práctica: los archivos depositados contienen datos inservibles que no permiten verificar la amenaza, y los archivos de registro que guardan el contenido real son contenedores que no se pueden detectar ni borrar.

Así que el malware deja rastros, y esos rastros no son accionables. Es una situación muy distinta a la de un virus en una carpeta esperando a que lo pongan en cuarentena.

Por qué el análisis sale limpio

Juntar los tres tipos explica el síntoma que empuja a la gente a buscar.

Un análisis tradicional busca archivos maliciosos en el disco. El Tipo I no tiene ninguno. El Tipo II se esconde dentro de un contenedor legítimo multipropósito. El Tipo III deja archivos deliberadamente carentes de sentido. En los tres casos, un resultado limpio es el desenlace esperado, no una contradicción con lo que estás viendo.

La respuesta de Microsoft no es un mejor analizador de archivos. Su documentación cita AMSI, la supervisión del comportamiento, el análisis de memoria y la protección del sector de arranque como los mecanismos que atrapan estas amenazas, porque cada uno de ellos mira algo distinto de un archivo apoyado en el disco.

La traducción práctica: si sospechas de algo basado en scripts, mantén activada la protección en tiempo real de Windows Defender en lugar de desactivarla en favor de un escáner bajo demanda. La supervisión del comportamiento en tiempo real es la capa que se aplica aquí, y es la que la gente desconecta más a menudo.

Qué hacer en la práctica

Tres pasos, ordenados por lo mucho que ayudan.

Deja de preguntarte «qué elimino». Para los Tipos II y III puede que no haya nada que poner en cuarentena. La pregunta que importa es qué tocó la intrusión, no qué archivo borrar.

Trata las credenciales como la pérdida. Las amenazas con scripts recopilan y exfiltran, de forma abrumadoramente mayoritaria. Cambiar las contraseñas desde otro dispositivo limpio e invalidar las sesiones activas reduce el daño real; borrar un archivo inservible, no.

Reinstala si fue persistente y no puedes explicarlo. Para un equipo que contenía datos financieros o de empresa y muestra un comportamiento que no sabes justificar, una reinstalación limpia es una respuesta razonable y definitiva. Ten en cuenta, eso sí, la salvedad honesta del Tipo I: el código a nivel de firmware sobreviviría incluso a eso. Es raro, pero es la razón por la que «reinstalar lo soluciona todo» no es del todo cierto.

La versión corta

Fileless es una etiqueta laxa, y Microsoft lo dice sin rodeos. Solo el Tipo I no toca nunca el disco, y es poco común y difícil de ejecutar. El Tipo II se esconde en contenedores como el repositorio WMI, que no se pueden detectar ni eliminar. El Tipo III deja archivos deliberadamente inútiles para cualquier verificación.

En los tres, un análisis limpio te dice muy poco. Las defensas que funcionan son de comportamiento y no basadas en archivos, y el daño que merece atención suele estar en las credenciales que se fueron, no en el archivo que se quedó.

La clasificación en tres tipos, el ejemplo de EternalBlue y DoublePulsar, la afirmación de que el código a nivel de firmware sobreviviría a reinicios, formateos de disco y reinstalaciones del sistema operativo, el caso de Poshspy y el repositorio WMI, la técnica de registro de Kovter, la valoración de que los ataques de Tipo I son poco comunes e impracticables, y la lista de AMSI, supervisión del comportamiento, análisis de memoria y protección del sector de arranque, proceden todos de la documentación de Microsoft Defender for Endpoint sobre amenazas fileless, consultada en el momento de escribir este artículo. Las técnicas de ataque evolucionan; verifica con la documentación actual del proveedor antes de fiarte de un detalle concreto. Los enlaces comerciales llevan el atributo rel=“sponsored nofollow”; puede aplicarse una comisión de afiliación sin coste adicional para ti.