Malware fileless: perché la scansione risulta pulita e cosa significa davvero

Quando una macchina si comporta male e ogni scansione risulta pulita, “malware fileless” (senza file) è l’espressione a cui si ricorre subito dopo. È una categoria reale, ma viene usata in modo molto più vago di quanto la maggior parte degli articoli ammetta, e questa vaghezza è la prima cosa da chiarire.

Non esiste una definizione unica, e lo dice Microsoft

Questo è il punto di partenza onesto. La documentazione di Microsoft afferma essa stessa che non esiste una definizione unica di malware fileless, che il termine è usato in senso ampio e che a volte viene applicato a famiglie di malware che si appoggiano eccome ai file per funzionare.

Quindi quando una pagina ti dice che il malware fileless “non tocca mai il disco”, sta descrivendo un caso specifico come se fosse l’intera categoria. L’inquadramento utile è quello di Microsoft, che ordina queste minacce in tre tipi in base a quanta impronta lasciano.

Tipo I: nessuna attività sui file

È il caso che corrisponde all’immagine popolare, ed è il più raro.

L’esempio riportato da Microsoft: una macchina riceve pacchetti di rete malevoli che sfruttano la vulnerabilità EternalBlue, il che installa la backdoor DoublePulsar che finisce per risiedere solo nella memoria del kernel. Non viene scritto nulla su file.

La stessa categoria comprende il codice malevolo nascosto nel firmware di un dispositivo come un BIOS, in una periferica USB tramite la tecnica BadUSB, o nel firmware di una scheda di rete. Ed ecco la frase su cui vale la pena soffermarsi: un codice del genere sopravvivrebbe ai riavvii, alle formattazioni del disco e alle reinstallazioni del sistema operativo.

Microsoft è altrettanto chiara sui limiti. Queste infezioni sono difficili da rilevare perché la maggior parte dei prodotti antivirus non può ispezionare il firmware, la bonifica a quel livello è davvero complessa, e questi attacchi richiedono grande sofisticazione e hardware specifico. Sono rari e non praticabili per la maggior parte degli attacchi. Se ti stai chiedendo se sia questo che è successo al tuo portatile, quasi certamente non lo è.

Tipo II: attività indiretta sui file

Qui la cosa diventa concreta, ed è qui che l’istinto della rimozione comincia a fallire.

L’esempio è la backdoor Poshspy: gli attaccanti hanno installato un comando PowerShell malevolo all’interno del repository WMI e configurato un filtro WMI per eseguirlo periodicamente. Il malware non scrive alcun file in modo diretto.

Il repository WMI risiede effettivamente in un file fisico. Ma Microsoft lo classifica comunque come fileless, e la ragione indicata è la parte importante: il repository è un contenitore di dati multiuso che non può essere rilevato e rimosso. Contiene dati di sistema legittimi. Non puoi metterlo in quarantena, ed eliminarlo non è un’opzione.

È questa la differenza tra “nascosto” e “non rimovibile con i mezzi consueti”. Un antivirus può essere in perfetta salute e non avere comunque nulla su cui intervenire.

Tipo III: file necessari, ma inutili per te

L’esempio qui è Kovter, che crea un gestore del verbo open nel registro per un’estensione di file casuale. Aprire un file con quell’estensione esegue uno script tramite lo strumento legittimo mshta.exe, che legge altri dati da un’altra chiave di registro e carica il payload.

Kovter i file li rilascia davvero. Ma Microsoft lo considera fileless perché il file system non ha alcuna utilità pratica: i file rilasciati contengono dati inutili che non permettono di verificare la minaccia, e i file di registro che custodiscono il contenuto reale sono contenitori che non possono essere rilevati ed eliminati.

Il malware lascia quindi tracce, e quelle tracce non sono sfruttabili. È una situazione molto diversa da un virus fermo in una cartella in attesa di essere messo in quarantena.

Perché la scansione risulta pulita

Mettere insieme i tre tipi spiega il sintomo che spinge le persone a cercare.

Una scansione tradizionale cerca file malevoli sul disco. Il Tipo I non ne ha. Il Tipo II si nasconde dentro un contenitore legittimo multiuso. Il Tipo III lascia file deliberatamente privi di significato. In tutti e tre i casi un esito pulito è il risultato atteso, non una contraddizione con ciò che stai osservando.

La risposta di Microsoft non è uno scanner di file migliore. La documentazione elenca AMSI, il monitoraggio comportamentale, l’analisi della memoria e la protezione del settore di avvio come i meccanismi che intercettano queste minacce, perché ciascuno di essi guarda a qualcosa di diverso da un file appoggiato sul disco.

La traduzione pratica: se sospetti qualcosa di basato su script, tieni attiva la protezione in tempo reale di Windows Defender invece di disattivarla a favore di uno scanner su richiesta. Il monitoraggio comportamentale in tempo reale è lo strato che si applica qui, ed è proprio lo strato che le persone disattivano più spesso.

Cosa fare concretamente

Tre passi, ordinati per quanto aiutano davvero.

Smetti di chiederti “cosa rimuovo”. Per il Tipo II e il Tipo III potrebbe non esserci nulla da mettere in quarantena. La domanda che conta è cosa ha toccato l’intrusione, non quale file cancellare.

Considera le credenziali come la perdita. Le minacce basate su script raccolgono ed esfiltrano, in modo largamente prevalente. Cambiare le password da un altro dispositivo, pulito, e invalidare le sessioni attive riduce il danno reale; cancellare un file inutile no.

Reinstalla se era persistente e non riesci a spiegartelo. Per una macchina che conteneva dati finanziari o aziendali e mostra un comportamento che non sai giustificare, una reinstallazione pulita è una risposta ragionevole e definitiva. Tieni però presente l’onesta riserva del Tipo I: il codice a livello di firmware sopravvivrebbe anche a questo. È raro, ma è il motivo per cui “reinstallare risolve tutto” non è del tutto vero.

In breve

Fileless è un’etichetta vaga, e Microsoft lo dice apertamente. Solo il Tipo I non tocca mai il disco, ed è raro e difficile da realizzare. Il Tipo II si nasconde in contenitori come il repository WMI, che non possono essere rilevati e rimossi. Il Tipo III rilascia file deliberatamente inutili ai fini della verifica.

In tutti e tre i casi una scansione pulita ti dice ben poco. Le difese che funzionano sono comportamentali anziché basate sui file, e il danno di cui vale la pena occuparsi sono di solito le credenziali che se ne sono andate, non il file che è rimasto.

La classificazione in tre tipi, l’esempio di EternalBlue e DoublePulsar, l’affermazione che il codice a livello di firmware sopravvivrebbe a riavvii, formattazioni del disco e reinstallazioni del sistema operativo, il caso Poshspy e il repository WMI, la tecnica di registro di Kovter, la valutazione secondo cui gli attacchi di Tipo I sono rari e non praticabili, e l’elenco di AMSI, monitoraggio comportamentale, analisi della memoria e protezione del settore di avvio, provengono tutti dalla documentazione di Microsoft Defender for Endpoint sulle minacce fileless, consultata al momento della stesura. Le tecniche di attacco evolvono; verifica sulla documentazione aggiornata del fornitore prima di fare affidamento su un dettaglio specifico. I link commerciali riportano l’attributo rel=“sponsored nofollow”; può essere applicata una commissione di affiliazione senza costi aggiuntivi per te.