Aanvallen met bestandsloze malware stegen afgelopen half jaar met 265 procent

Het aantal infecties met bestandsloze malware is in het eerste half jaar met 265 procent gestegen ten opzichte van dezelfde periode vorig jaar. Die methode wordt steeds vaker ingezet om malware te verbergen voor virusscanners en beveiligingssoftware.

De stijging in populariteit van bestandsloze malware gaat sinds de eerste helft van 2018 hard, blijkt uit de halfjaarsrapportage van Trend Micro. Het beveiligingsbedrijf detecteerde in de eerste helft van 2019 710.733 malware-infecties die 'fileless' waren. Dat is een flinke stijging ten opzichte van het jaar ervoor. In de eerste helft van vorig jaar vond het bedrijf nog 194.840 bestandsloze infecties.

Bij bestandsloze malware worden de benodigde bestanden niet op het systeem geïnstalleerd. In plaats daarvan wordt de malware via het werkgeheugen uitgevoerd, bijvoorbeeld door programma's als PowerShell te gebruiken. Het is voor virusscanners en andere beveiligingssoftware vaak lastig om zulke malware te detecteren. Omdat de bestandsloze malware zich alleen in het werkgeheugen bevindt, verdwijnt die vaak na het herstarten van de computer.

Naast de opkomst van bestandsloze malware ziet Trend Micro ook dat ransomware een comeback maakt. Het bedrijf detecteerde meer dan 46 miljoen ransomwareaanvallen in de eerste helft van het jaar. In de tweede helft van 2018 waren dat er maar 26 miljoen. Het gaat volgens het bedrijf voornamelijk om systemen van bedrijven die door besmette e-mails met gijzelsoftware worden geïnfecteerd.

Reacties (47)

[Rabbitto]

Kan iemand mij uitleggen wat het eerste punt van contact is met bestandsloze malware? Hoe baant het zich richting het werkgeheugen? Een bestand met malware binnenhalen spreekt voor zich, maar hoe haalt de gebruiker dit bestandsloos binnen?

[hellknight]

Fileless malware is een ietwat misleidende naam - de initiële infectie zal vaak nog altijd een bestand zijn, maar de malware doet vervolgens zijn werk volledig in-memory, en maakt bijv, aanpassingen aan registry om persistence te verkrijgen, zonder dat er nieuwe files op het filesystem weggeschreven worden.
MalwareBytes heeft er diverse blogs over geschreven waar meer info in te vinden is

[Dostar]

Ik ben verre van een expert, maar het nieuws laatste jaren volgende gebeurd er veel via advertentie netwerken. Scripts die draaien bij het laden van de advertentie.
Zelfs een keer via Microsoft Nieuws en Weer, bron:

nieuws: Sommige Windows 10-apps tonen advertenties met malware

Laat staan wat Google allemaal verspreid heeft indirect de laatste jaren...

[bbob]

Dat is dan ook de reden waarom je een adblocker moet zien als onderdeel van bescherming. Zolang netwerken niet kunnen garanderen dat malware verspreid wordt via hun netwerken heb je een adblocker nodig.

[Dostar]

En het ergste is dat je soms nog het beste malware al moet blokkeren bij het punt waar het internet binnenkomt, want ook via alleen de browser kan soms niet genoeg zijn.
Ik merk ook met mijn Android telefoon hoeveel rommel er binnenkomt en hoeveel data mijn telefoon maandelijks gebruikt, ondanks dat ik data blokkering aan heb staan, Adguard gebruikt etc. etc.
Zat deze maand op 1.5 gig zonder actief mijn telefoon te hebben gebruikt.
Updates draai ik alleen als wifi aan staat bijvoorbeeld. Heb verder geen apps op de telefoon, behalve whatsapp, bankieren en thuisbezorgd.
Kortom Android zelf haalt een hoop troep naar binnen wat je niet kan tegenhouden.

[sjhgvr]

En daar bied Pi-hole een uitkomst.

[jaenster]

Ter vergelijking, ik gebruik via ios ongeveer 750 mb per maand, en dat is zonder me in te houden.

Al moet ik zeggen:

De playlisten die ik veel draai heb gedownload (spotify).
Ik zit veelal op wifi, en onderweg gebruik ik Waze. En download ik pas whatsapp images als ik ze daadwerkelijk bekijk (dus niet als ze onderweg tegenkom).

[Dazzyreil]

Ter vergelijking, mijn auto rijdt 1 op 14.

[FlaffTweakr]

Ter vergelijking, ik verbruik 3 maaltijden op 1 dag.

[Superstoned]

Ik maar twee! Wat zou er mis zijn???

[GhostShinigami]

ik zou zeggen een remote code execution bug in software die naar buiten communiceert (of ontvangt) zoals een browser (javascript) / RDP enz, waarna je dus code zou kunnen uitvoeren op de machine, al zou ik dan wel zeggen dat het binnen de geheugen space van die applicatie zou draaien, en bij het afsluiten van die applicatie ook weg moet zijn, tenzei die zou kunnen forken? of op een andere maner de sandbox kunnen doorbreken, en het zou alles kunnen doen wat het wil, mits het een ongepatched systeem is. hmm... had er eigenlijk ook nog nooit van gehoord, nasty concept in ieder geval..

[GeoBeo]

ik zou zeggen een remote code execution bug in software die naar buiten communiceert (of ontvangt) zoals een browser (javascript) / RDP enz, waarna je dus code zou kunnen uitvoeren op de machine, al zou ik dan wel zeggen dat het binnen de geheugen space van die applicatie zou draaien, en bij het afsluiten van die applicatie ook weg moet zijn, tenzei die zou kunnen forken? of op een andere maner de sandbox kunnen doorbreken, en het zou alles kunnen doen wat het wil, mits het een ongepatched systeem is. hmm... had er eigenlijk ook nog nooit van gehoord, nasty concept in ieder geval..

Dit is inderdaad volgens mij hoe het werkt. Het proces van de browser wordt gekidnapped (de "vuile" code draait in hetzelfde geheugen als dat wat voor de browser gereserveerd wordt, inclusief dezelfde rechten) en vervolgens verkrijgt men via andere exploits in het OS meer rechten (privilage escalation exploits).

Er staat me ook vaag een quote bij van een of andere Amerikaanse autoriteit (NSA of anders) in de trant van: "if we can make you visit a certain webpage, we have remote admin rights on your computer".

Daar komt het denk ik op neer voor de meer geavanceerde exploits (zoals de exploits die o.a. de Nederlandse politie inkoopt dankzij hun recht om computers van verdachten te hacken).

[Reactie gewijzigd door GeoBeo op 22 juli 2024 22:11]

[R4gnax]

Dit is inderdaad volgens mij hoe het werkt. Het proces van de browser wordt gekidnapped (de "vuile" code draait in hetzelfde geheugen als dat wat voor de browser gereserveerd wordt, inclusief dezelfde rechten) en vervolgens verkrijgt men via andere exploits in het OS meer rechten (privilage escalation exploits).

Precies dit, inderdaad.
Een zwakheid in de browser wordt misbruikt om binnen de beschermde sandbox van de browser arbitraire code te kunnen draaien; deze arbitraire code bevat een exploit om uit de sandbox te ontsnappen en code te draaien met de rechten van de normale gebruiker; in die context wordt er code toegevoegd om meer rechten toe te eigenen en code te draaien met administrator - of erger: systeem - rechten en vervolgens kun je los gaan.

Zeker als men systeem rechten weet te pakken is men binnen. Je draait dan op hetzelfde toegangsniveau als waar de werkzame component van de virusscanner zit, en je kunt die actief buiten spel gaan zetten.


Gelukkig komen security gaten die escalatie naar systeem rechten mogelijk maken, relatief weinig voor; wordt er goed met responsible disclosure gewerkt bij het rapporteren ervan; en worden ook met spoed opgelost.

Jammer genoeg af en toe nog steeds flinke uitglijders. Onlangs nog was Valve met Steam tot twee maal toe in het nieuws met twee security gaten die triviaal uit te buiten waren om systeem rechten te verkrijgen, beiden al jaren open en bloot in de Steam client aanwezig. Valve wilde er initieel niets aan doen, omdat malware toch al lokaal moest draaien om het gat te misbruiken en het dus out-of-scope was volgens hen.
(Zo'n vreselijke naieve en gevaarlijke houding.)

[GeoBeo]

Gelukkig komen security gaten die escalatie naar systeem rechten mogelijk maken, relatief weinig voor;

Dit is speculatie. Als blackhats (hackers die exploits verkopen aan de hoogste bieder) degenen zijn die de meeste van dit soort exploits vinden, dan komen wij daar met z'n allen misschien nooit achter.

Dit soort exploits verdwijnt dan gewoon in hele hele dure (Israëlische) software die doorverkocht wordt aan overheden en andere partijen met veel geld.

Die exploits worden dus niet bekend gemaakt en blijven gewoon lange tijd werken. Om hoeveel exploits het gaat is gissen. Er is geen manier om dat te weten.

De Nederlandse overheid draagt hier actief aan bij door licenties op dit soort software op te kopen voor eigen doeleinden (zoals "het recht om te hacken" van verdachten, dat de politie sinds kort heeft en voor de geheime diensten).

wordt er goed met responsible disclosure gewerkt bij het rapporteren ervan; en worden ook met spoed opgelost.

Dat ligt er dus maar aan. Er zijn genoeg hackers in deze wereld die bewust helemaal nooit aan responsible disclosure doen. Je kunt een hack bijna altijd veel duurder verkopen aan kwaadwillenden dan aan de software auteurs.

[Reactie gewijzigd door GeoBeo op 22 juli 2024 22:11]

[Cerberus_tm]

Ik weet niet, ik sta geen Javascript toe op mij onbekende websites, dus dan vraag ik mij af hoe makkelijk het is voor de NSA om mijn computer te infecteren...

[GeoBeo]

Ik weet niet, ik sta geen Javascript toe op mij onbekende websites, dus dan vraag ik mij af hoe makkelijk het is voor de NSA om mijn computer te infecteren...

Dan zullen ze in jouw geval een andere attack surface moeten kiezen dan Javascript.

Bij de andere 99,999999999 % van alle internet gebruikers zal een exploit op basis van Javascript problemen wel gewoon werken

[Cerberus_tm]

Denk je niet dat er best veel mensen zijn die Umatrix o.i.d. gebruiken, juist onder belangrijke doelwitten?

Overigens ben ik benieuwd welke andere attack surface er is?

[GeoBeo]

Denk je niet dat er best veel mensen zijn die Umatrix o.i.d. gebruiken, juist onder belangrijke doelwitten?

In absolute getallen: ja vast. In relatieve getallen: nee. Ik denk niet dat er ook maar 1 op de 100.000 mensen zijn die ooit van Umatrix o.i.d. gehoord hebben.

Overigens ben ik benieuwd welke andere attack surface er is?

Die op dit moment werken? Geen idee. Maar we hebben bijvoorbeeld de exploit gehad in JPG die remote code execution mogelijk maakte. Via het simpele laden van een plaatje dus. WebRTC had ook een tijdje bekende exploits waarbij je echte IP kon uitlekken wanneer je via VPN dacht te browsen.

Er zijn er vast veel meer die nu nog werken op attack services waar je nooit aan zou denken, maar die zijn uiteraard niet publiekelijk bekend of nog niet gevonden

[Cerberus_tm]

Dank voor de link, meen me nog wel zoiets te herinneren, met die JPG. Lees trouwens wel:

However, the JPG file with the exploit has to be previewed locally for the exploit to get activated; viewing a JPG file from a remote host does not activate the exploit.

En het was 15 jaar geleden, met Internet Explorer e.d. Ik vraag me af wat er nu nog is. Je hebt gelijk dat Umatrix een kleine minderheid is. Maar wel belangrijke mensen wellicht. Dus ik vind het een beetje klinken als Amerikaanse bluf. En ik raad iedereen toch aan om Ublock en Umatrix te gebruiken.

Onbekende surfaces zijn inderdaad helaas nog onbekend! Maar hoor daar al zo lang niets over, dat ik benieuwd was of er de laatste jaren nog zoiets boven was gekomen.

[R4gnax]

Ik weet niet, ik sta geen Javascript toe op mij onbekende websites, dus dan vraag ik mij af hoe makkelijk het is voor de NSA om mijn computer te infecteren...

Kwestie van een RCE vinden die niet op basis van JS is, maar op basis van iets anders. Aan Stagefright op Android lag bijv. een fout in het parsen van video metadata ten grondslag.

[Cerberus_tm]

Yep. Maar ik denk dat de 'attack surface' van Firefox een stuk kleiner is dan van Android, en dat Firefox een stuk beter gecontroleerd wordt op veiligheid. Het is natuurlijk niet onmogelijk. Maar ik vraag me af wanneer er voor het laatst zo'n kwetsbaarheid in Firefox is geweest, die dus werkt zonder Javascript, Flash, Java, enz.

[R4gnax]

Tja; sla de versie-historie er maar op na en kijk voor "potentially exploitable crash."
Zijn er nogal wat, waar mogelijk nog een RCE op geklust zou kunnen worden, maar waar geen verder onderzoek naar gedaan is.

[Reactie gewijzigd door R4gnax op 22 juli 2024 22:11]

[Cerberus_tm]

Hmm ik heb wat gezocht en zie allerlei bugs die Javascript nodig hebben. Maar ook een aantal waarvan ik niet kan beoordelen of je daarvoor Javascript nodig zou hebben. Ik weet er denk ik te weinig van, maar kan ook geen RCE vinden die werken zonder Javascript wanneer ik gewoon Google:
https://www.google.com/se...C%22without+javascript%22

[Hans1990]

Er zijn zoveel desktop applicaties die met het internet verbonden zijn en code execution lekken bevatten. Je web browser maar bij wijze van ook chat clients kunnen gevoelig zijn.

[SunnieNL]

Uit het artikel zelf:

As we predicted, threat actors had been increasingly “living off the land,” or abusing legitimate system administration and penetration testing tools to hide their malicious activities. Their so-called fileless threats are not as visible as traditional malware since these typically do not write to disk, are usually executed in a system’s memory, reside in the registry, or misuse normally whitelisted tools like PowerShell, PsExec, or Windows Management Instrumentation.

Daaronder staat dat ze onder andere cryptocurrency mining malware daar ook onder schouwen, die vaak via javascript in de browser draait.
Gebruik van PsExec vind ik een vreemde eend. Dat proces is toch nog wel te stoppen. Een normale gebruiker zal die tool niet zomaar kunnen starten bij een goed beveiligde omgeving.

[ShellGhost]

Dit kan bijvoorbeeld gebeuren door een Word bestand te openen vanuit een email.
Het document kan via een macro een legitiem Windows process triggeren waarmee de malware wordt binnen gehaald.

[Wasabi!]

Ik had laatst bij Google (in de meest recente Chrome) een plaatje opgezocht via afbeeldingen, tijdens het scrollen krijg ik opeens een melding van malware, ik had niet eens op het plaatje geklikt om het in het echte formaat te bekijken, gewoon via de cursor over het plaatje in het resultatenscherm. Symantec greep gelijk in. Was al verrast. Daarna nog een keer geprobeerd, en ja hoor, weer, precies bij hetzelfde plaatje.

[Reactie gewijzigd door Wasabi! op 22 juli 2024 22:11]

[Dostar]

Voorheen kon je via Google plaatjes zoeken en opslaan. Gebruikte ik vaak voor 1920 x 1080 als zoekopdracht voor leuke achtergronden. Ik liet me dan graag verrassen. Tegenwoordig word je dan direct doorgelinked naar soms vervelende websites.
Ik mis de oude functionaliteit die Google voorheen had en kan de nieuwe missen als kiespijn, haha.

[Verwijderd]

Duckduckgo is een prima alternatief in sommige gevallen

[batjes]

Met zowel Edge als Firefox kan ik nog gewoon rechtermuis > save image/picture. En Firefox heeft nog de optie Copy image location, om gewoon de directe link te krijgen, alhoewel sommige sites dat met een goede htaccess/web.config aanpakken. Google heeft het knopje weg moeten halen na een boel gezeik, maar houdt niet pro-actief de browser tegen.

[Reactie gewijzigd door batjes op 22 juli 2024 22:11]

[SunnieNL]

Nu lijkt het wel heel veel, maar ze noemen nergens een percentage van het geheel.
Wel zeggen ze dat ze 26,804,076,261 threats geblokkeerd hebben... Dus dan is 700k gelukkig nog maar een schijntje van alle malware attacks.

[Verwijderd]

Misschien een tip, ik gebruik al een tijd de gratis Comodo browser en firewall.
DNS verloopt via hun servers.
Er zit ook een gratis tooltje in om je pc te scannen voor rootkits .
Onlangs had ik er ééntje zitten in de services van Windows. Kreeg m er niet uit met Comodo of malwarebytes, moest toen andere middelen gebruiken, duurde wel een tijdje want ik had geen zin in een schone installatie.

[RoccoS]

Natuurlijk heeft zo'n verkoper van antivirussoftware er helemààl geen belang bij om af en toe wat paniek te zaaien met dit soort berichten...

[DonJunior]

Waarin ze vervolgens zelf schrijven dat hun antivirusprogramma moeite heeft dit type aanvallen te identificeren.. Dat is niet echt positieve reclame.

Sceptisch zijn is helemaal niets mis mee, zou willen dat meer mensen dat soms deden (uit veiligheidsoogpunt) maar dit lijkt me wel erg ver gezocht.

[Dostar]

Precies dit. Dit nieuws is eerder negatieve dan positieve reclame. Mensen zouden sneller denken dat een virusscanner toch niets meer uithaalt met nieuwe soorten virussen en malware.
Ben wel benieuwd wat de anti virus bedrijven gaan doen komende jaren aan dit groeiende probleem. Of beter nog wat de OS bouwers gaan aanpassen.
Maar ook bijvoorbeeld wat browsers gaan doen betreft script/malware blokkades, al bestaan er plugins en opties om bepaalde zaken te blokkeren tegenwoordig.
Zelf heb ik heel lang noscript gedraaid, maar moet zeggen dat het soms erg vervelend werd met bijvoorbeeld online betalingen. Had dan een website goedgekeurd, maar werd doorgelinkd naar een betaalsite waar weer alles geblokkeerd was, dus ging er vaak een hoop mis.
Tegenwoordig draai ik adguard, omdat die vanaf het OS alles al blokkeert wat ik niet hebben wil. Zit nog te kijken naar PiHole voor de toekomst, omdat je dan vanaf de router alles kan blokkeren.

[sprankel]

Dat ze moeite hebben is niet wat ze schrijven, dat is ofwel slecht vertaald ofwel interpretatie van de auteur. Letterlijk vertaald staat er dat fileless malware minder zichtbaar is maar dat ze dit toch detecteren via andere manieren.

Ik ben al wat IT'ers tegen gekomen die denken dat anti virus enkel heurstic kunnen werken en al helemaal nutteloos zijn tegen een zero day. Echter als een .exe begint te lopen, die mag filesless zijn, die de AV nog nooit gezien heeft (deze kan vergelijken met een database in de cloud, een .exe die niet gekend is op miljoenen computers dus wat normaal nooit voorkomt tenzij je aan het programmeren bent) en vervolgens wil dat proces de hele disk beginnen te lezen dan kan je als AV stellen dat je te maken hebt met een "onbekende threat", vermoedelijk cryptolocker en actie nemen.

"
Compared to traditional malware that writes to a machine’s disk, threats that live off the land, such as
fileless threats, are not as visible since they can be executed in a system’s memory, reside in the registry,
or abuse normally whitelisted tools like PowerShell, PsExec, Windows Management Instrumentation,39
and AutoHotKey.40 Nevertheless, we are able to detect fileless threat-related activities by tracking non-file
based indicators, such as specific execution events or behaviors.
"

[Reactie gewijzigd door sprankel op 22 juli 2024 22:11]

[svennd]

Er bestaat niet zoiets als negatieve reclame ...

[robvanwijk]

Er bestaat niet zoiets als negatieve reclame ...

Hoe zou jij (om maar eens een voorbeeld te noemen) "Antivirusbedrijf X is besmet met een cryptolocker en heeft Y miljoen betaald om hun bestanden terug te krijgen" dan omschrijven... "positieve reclame"!?

[robvanwijk]

Ze noemen concrete cijfers, wou je beweren dat ze die uit hun duim hebben gezogen?

[bigbadbull]

87% van de statistische gegevens is nergens op gebaseerd

[robvanwijk]

Ja, die ken ik, maar daarom zeg ik ook, ze noemen concrete cijfers. Als ze zeggen "hoeveelheid aanvallen steeg bijna 300%" kun je nog verklaren met jouw argumentatie, maar als ze zeggen "hoeveelheid aanvallen steeg van 194.840 naar 710.733", dan is er geen ruimte meer voor creatief interpreteren of veel te ver afronden. En ook de vraag of iets als een "fileless" infectie telt of niet geeft weinig ruimte voor speling. Mijns inziens zijn er dus maar twee opties: of dit is waar, of dit is een complete leugen; er zit geen "grijs gebied" tussen.

En ja, ze hebben er belang bij dat mensen massaal AV aanschaffen, maar als ze een verdomd goede reden hebben waarom dat een goed idee is (zoals in dit geval), dan vind ik een reactie zoals die van RoccoS (waarin heel sterk wordt gesuggereerd dat ze onzin praten, om maar meer verkopen te scoren) niet eerlijk.

[majic]

Gezien er veel gratis antivirussofware is, zelfs zonder ads...denk ik niet direct dat dat de hoofdmotivatie is.

[RoccoS]

Ja, maar Trend Micro wordt in tegenstelling tot alle andere aanbieders in dit bericht twee keer bij naam genoemd. En daar gaat het ze om.

[Reactie gewijzigd door RoccoS op 22 juli 2024 22:11]

[Cergorach]

Natuurlijk heeft zo een AV boer daar belang bij, echter is het niet alsof we zonder AV kunnen tegenwoordig op PCs.

Een jaar of 20 geleden was ik nog zo een kneus van 'dat heb ik niet nodig als ik netjes omspring met wat ik doe', maar een onbewaakt moment waar je moe bent en wat minder scherp is er toch wat tussendoor gebroken. Daarna is het snel AV installeren, scannen en tegen de tijd dat het klaar is met de eerste scan is de volgende lading alweer geïnfecteerd. Dat geintje heeft mij toen heel veel data gekost en meteen ook direct AV voorstander gemaakt.

@robvanwijk Niet uit hun duim gezogen, maar bepaalde onderdelen van bedrijven zijn heel goed in het 'masseren' van cijfers in hun voordeel.