ファイルレスマルウェア

ファイルレスマルウェアは、PowerShell・WMI・.NET・WSH・Windows レジストリといった正規コンポーネント(LOLBins)を悪用してメモリ上で動作することにより、ディスク上の痕跡を最小化する。これは「Living off the Land」と呼ばれる手法である。初期コードはフィッシング文書、エクスプロイト、メモリ型ローダなどを通じて配信され、その後のステージはリフレクティブロードでメモリに展開され、ディスクへ書き出されないことが多い。シグネチャ型 AV がスキャンする実体ファイルがほとんどないため、検知が一段と難しい。対策としてはスクリプトブロック/コマンドラインの監査ログ、AMSI 連携、ふるまい・メモリ検査を備えた EDR、Constrained Language Mode と WDAC による PowerShell の制限・署名運用などが挙げられる。