Malware fileless: porque a análise não encontra nada e o que isso significa de facto

Quando uma máquina se comporta mal e todas as análises voltam limpas, “malware fileless” (sem ficheiros) é a expressão a que se recorre a seguir. É uma categoria real, mas também é usada de forma bem mais solta do que a maioria dos artigos admite, e essa imprecisão é a primeira coisa a esclarecer.

Não existe uma definição única, e a Microsoft diz isso

Este é o ponto de partida honesto. A própria documentação da Microsoft afirma que não existe uma definição única de malware fileless, que o termo é usado de forma ampla e que por vezes é aplicado a famílias de malware que dependem mesmo de ficheiros para funcionar.

Por isso, quando uma página lhe diz que o malware fileless “nunca toca no disco”, está a descrever um caso específico como se fosse a categoria inteira. O enquadramento útil é o da própria Microsoft, que arruma estas ameaças em três tipos consoante a marca que deixam.

Tipo I: nenhuma atividade de ficheiros

Este é o caso que corresponde à imagem popular, e é o mais raro.

O exemplo que a Microsoft dá: uma máquina recebe pacotes de rede maliciosos que exploram a vulnerabilidade EternalBlue, o que instala a backdoor DoublePulsar, que acaba por residir apenas na memória do kernel. Nada é escrito num ficheiro.

A mesma categoria abrange código malicioso escondido no firmware de um dispositivo, como uma BIOS, num periférico USB através da técnica BadUSB, ou no firmware de uma placa de rede. E aqui está a frase em que vale a pena parar: esse código sobreviveria a reinícios, a formatações do disco e a reinstalações do sistema operativo.

A Microsoft é igualmente clara quanto aos limites. Estas infeções são difíceis de detetar porque a maioria dos produtos antivírus não consegue inspecionar firmware, a remediação a esse nível é genuinamente difícil, e os ataques exigem elevada sofisticação e hardware específico. São pouco comuns e não práticos para a maioria dos ataques. Se está a perguntar-se se foi isto que aconteceu ao seu portátil, quase de certeza que não foi.

Tipo II: atividade indireta de ficheiros

É aqui que o assunto se torna concreto, e onde o instinto de remover começa a falhar.

O exemplo é a backdoor Poshspy: os atacantes instalaram um comando PowerShell malicioso dentro do repositório WMI e configuraram um filtro WMI para o executar periodicamente. Nenhum ficheiro é escrito diretamente pelo malware.

O repositório WMI reside de facto num ficheiro físico. Mas a Microsoft classifica-o mesmo assim como fileless, e a razão apresentada é a parte importante: o repositório é um contentor de dados multiúsos que não pode ser detetado nem removido. Contém dados legítimos do sistema. Não o pode colocar em quarentena, e apagá-lo não é opção.

É esta a diferença entre “escondido” e “não removível pelos meios habituais”. Um antivírus pode estar perfeitamente saudável e ainda assim não ter nada sobre o que agir.

Tipo III: ficheiros necessários, mas inúteis para si

O exemplo aqui é o Kovter, que cria um handler do verbo open no registo para uma extensão de ficheiro aleatória. Abrir um ficheiro com essa extensão executa um script através da ferramenta legítima mshta.exe, que lê mais dados de outra chave de registo e carrega o payload.

O Kovter larga mesmo ficheiros. Mas a Microsoft considera-o fileless porque o sistema de ficheiros não tem qualquer utilidade prática: os ficheiros largados contêm dados inúteis que não permitem verificar a ameaça, e os ficheiros de registo que guardam o conteúdo real são contentores que não podem ser detetados nem apagados.

Ou seja, o malware deixa rastos, e esses rastos não são acionáveis. É uma situação muito diferente de um vírus pousado numa pasta à espera de ser colocado em quarentena.

Porque a análise volta limpa

Juntar os três tipos explica o sintoma que leva as pessoas a pesquisar.

Uma análise tradicional procura ficheiros maliciosos no disco. O Tipo I não tem nenhum. O Tipo II esconde-se dentro de um contentor legítimo multiúsos. O Tipo III deixa ficheiros deliberadamente sem sentido. Nos três casos, um resultado limpo é o desfecho esperado e não uma contradição com aquilo que está a observar.

A resposta da própria Microsoft não é um melhor analisador de ficheiros. A documentação lista o AMSI, a monitorização comportamental, a análise de memória e a proteção do setor de arranque como os mecanismos que apanham estas ameaças, porque cada um deles olha para algo que não é um ficheiro pousado no disco.

A tradução prática: se suspeita de algo baseado em scripts, mantenha a proteção em tempo real do Windows Defender ligada em vez de a desativar a favor de um scanner a pedido. A monitorização comportamental em tempo real é a camada que se aplica aqui, e é a camada que as pessoas mais vezes desligam.

O que fazer na prática

Três passos, ordenados pelo quanto ajudam.

Pare de perguntar “o que é que eu removo”. Para os Tipos II e III, pode não haver nada para colocar em quarentena. A pergunta que importa é o que a intrusão tocou, não que ficheiro apagar.

Trate as credenciais como a perda. As ameaças baseadas em scripts recolhem e exfiltram, de forma esmagadoramente maioritária. Mudar as palavras-passe a partir de outro dispositivo, limpo, e invalidar as sessões ativas reduz o dano real; apagar um ficheiro inútil não.

Reinstale se foi persistente e não consegue explicar. Para uma máquina que continha dados financeiros ou de trabalho e apresenta um comportamento que não consegue justificar, uma reinstalação limpa é uma resposta razoável e definitiva. Note, ainda assim, a ressalva honesta do Tipo I: código ao nível do firmware sobreviveria mesmo a isso. É raro, mas é a razão pela qual “reinstalar resolve tudo” não é bem verdade.

A versão curta

Fileless é um rótulo solto, e a Microsoft diz isso com todas as letras. Só o Tipo I nunca toca no disco, e é pouco comum e difícil de concretizar. O Tipo II esconde-se em contentores como o repositório WMI, que não podem ser detetados nem removidos. O Tipo III larga ficheiros deliberadamente inúteis para efeitos de verificação.

Nos três, uma análise limpa diz-lhe muito pouco. As defesas que funcionam são comportamentais em vez de baseadas em ficheiros, e o dano que merece atenção são normalmente as credenciais que saíram, não o ficheiro que ficou.

A classificação em três tipos, o exemplo do EternalBlue e do DoublePulsar, a afirmação de que código ao nível do firmware sobreviveria a reinícios, formatações do disco e reinstalações do sistema operativo, o caso Poshspy e o repositório WMI, a técnica de registo do Kovter, a avaliação de que os ataques de Tipo I são pouco comuns e impraticáveis, e a lista de AMSI, monitorização comportamental, análise de memória e proteção do setor de arranque, são todos retirados da documentação do Microsoft Defender for Endpoint sobre ameaças fileless, verificada à data da redação. As técnicas de ataque evoluem; confirme na documentação atual do fornecedor antes de se basear num detalhe específico. As ligações comerciais têm o atributo rel=“sponsored nofollow”; pode aplicar-se uma comissão de afiliação sem custo adicional para si.