CyberGlossary

Logiciels malveillants

Malware sans fichier

Aussi appelé: Malware résident en mémoire, Malware "living off the land"

Définition

Logiciel malveillant qui s'exécute principalement en mémoire et exploite des outils système légitimes, en évitant les exécutables traditionnels sur disque.

Le malware fileless minimise son empreinte disque en résidant en mémoire et en abusant de composants légitimes tels que PowerShell, WMI, .NET, WSH et le registre Windows — technique dite « living off the land » (LOLBins). Le code initial peut arriver par un document de phishing, un exploit ou un loader en mémoire, puis charger des étapes suivantes de manière réflective sans jamais écrire sur disque. Comme il y a peu ou pas de fichier de charge utile à scanner pour un antivirus à signatures, ces attaques sont nettement plus difficiles à détecter. Les défenses incluent le logging script-block et ligne de commande, l'intégration AMSI, un EDR avec inspection comportementale et mémoire, et la restriction/signature de PowerShell via Constrained Language Mode et WDAC.

Exemples

  • Charges Cobalt Strike Beacon en PowerShell chargées réflectivement en mémoire.
  • POWELIKS, malware fileless stockant ses charges encodées dans le registre Windows.

Termes liés