Бесфайловое вредоносное ПО

Бесфайловое вредоносное ПО минимизирует следы на диске, размещаясь в памяти и злоупотребляя легитимными компонентами — PowerShell, WMI, .NET, WSH, реестром Windows — эта техника известна как «living off the land» (LOLBins). Начальный код может приходить через фишинговый документ, эксплойт или memory-loader и затем загружать следующие стадии рефлективно прямо в память, не записывая их на диск. Так как сигнатурным антивирусам почти нечего сканировать, такие атаки сложнее обнаруживать. Защита включает логирование блок-скриптов и командной строки, интеграцию с AMSI, EDR с поведенческой и memory-инспекцией, а также ограничение/подписывание PowerShell через Constrained Language Mode и WDAC.