I malware fileless si annidano nella RAM e rimangono attivi fino allo spegnimento del dispositivo. Non lasciano tracce del loro passaggio sui dischi fissi annichilendo così le normali operazioni degli antivirus che, tra i rispettivi compiti, assolvono quello di esaminare ogni singolo file.
Sono considerati minacce emergenti ma, ancora prima, rappresentano la cristallizzazione di quanto gli hacker siano in grado di alzare l’asticella delle difficoltà mettendo in crisi chi si occupa di cyber difesa.
Tuttavia, ci sono degli accorgimenti che limitano il campo di azione dei malware fileless, così come spiega Salvatore Lombardo, esperto ICT e socio dell’Associazione italiana per la sicurezza informatica (Clusit).
Safer Internet Day 2024: i consigli degli esperti per navigare sicuri
Indice degli argomenti
Cosa sono i malware fileless
Come anticipato, i malware fileless si annidano nella RAM o risiedono all’interno di processi di sistema che di fatto sono legittimi e quindi non destano sospetti. Sono di diverso tipo e si distinguono per le tecniche che usano e gli obiettivi che si prefiggono.
Un tipo di malware fileless sfrutta le vulnerabilità dei software in uso alle aziende, un altro fa leva sugli script WMI o PowerShell, un altro tipo ancora usa l’hijacking del registro di sistema per avviare processi malevoli.
Diverse famiglie del medesimo malware che aumenta la sofisticatezza e la qualità degli attacchi, cristallizzando le crescenti capacità degli hacker.
Per fare un esempio che è rimasto nella memoria dei più, bisogna tornare al 2017, anno in cui l’azienda americana per la valutazione del credito Equifax ha subito una violazione che ha messo a rischio i dati di decine di milioni di utenti.
Come agiscono
Le tecniche di diffusione citate sopra meritano un approfondimento, a cominciare dall’abilità con cui questi malware sfruttano le vulnerabilità dei software. Un esempio classico è l’uso di documenti di Office con macro infette.
Un’altra modalità di diffusione è detta Living off the Land e consiste nello sfruttare le funzionalità dei sistemi operativi come, per esempio, il registro di sistema o PowerShell.
Il vantaggio per gli attaccanti, anche in questo caso, è la possibilità di non scrivere file su disco fisso oppure di scriverne in modo molto limitato e ciò rende più complessa l’individuazione del malware.
Mitigare i malware fileless
Le tecniche di difesa comportamentale sono sempre alla base di ogni strategia di cyber security. Ne fanno parte l’educazione al buon uso degli strumenti tecnologici e al riconoscimento dei rischi a cui gli utenti possono trovarsi esposti nello svolgimento dei rispettivi compiti. Non di meno, la difesa comportamentale è fatta anche dall’uso di password robuste e dal rispetto delle policy aziendali in genere.
Fatta salva la centralità dell’operatore umano, Salvatore Lombardo sottolinea che: “I malware fileless sono codici malevoli che non si appoggiano a file installati localmente su disco, ma vengono eseguiti direttamente in memoria, sfruttando exploit e talvolta anche applicazioni legittime del sistema operativo. Ciò li rende difficili da rilevare e bloccare con l’impiego di antivirus tradizionali”.
“Pertanto, come mezzo di contrasto per aiutare a identificare e fermare questi tipi di attacchi prima che causino danni, si consiglia di utilizzare una soluzione di sicurezza che integri la protezione antimalware tradizionale con funzionalità di prevenzione, rilevamento e risposta avanzate che si basano su tecniche di difesa comportamentale e di analisi euristica ovvero su modelli di monitoraggio delle attività sospette e anomale dei sistemi, anziché sulla semplice scansione di file”.
Inoltre, Salvatore Lombardo dà consigli agli utenti aziendali e a quelli privati:
- Limitare l’uso di applicazioni ad alto rischio, come PowerShell, che possono essere sfruttate dai malware fileless
- Gestire le macro di Microsoft Office, un mezzo usuale impiegato dai malware fileless per l’accesso iniziale, valutando una conferma utente prima della loro esecuzione o la disabilitazione totale.
- Aggiornare regolarmente il sistema operativo e le applicazioni, per correggere eventuali vulnerabilità sfruttabili dai malware fileless.
- Seguire delle buone pratiche, evitando di aprire allegati o link sospetti, di inserire dispositivi USB non sicuri o di scaricare software da fonti non affidabili.
Il fatto che gli hacker siano particolarmente abili nel perseguire i rispettivi obiettivi non significa che bisogna rendere la loro vita più facile.
