بدافزار بدون‌فایل

بدافزار بدون‌فایل  گونه‌ای از نرم‌افزارهای مخرب مرتبط با رایانه است که منحصراً به‌عنوان برنامه مبتنی بر حافظه رایانه یعنی در رَم وجود دارد.

این نوع از بدافزار، هیچ بخشی از فعالیت خود را روی هارد دیسک رایانه نمی‌نویسد، به این معنی که در برابر استراتژی‌های قانونی ضد رایانه موجود که شامل لیست سفید مبتنی بر فایل، تشخیص امضا، تأیید سخت‌افزار، تجزیه و تحلیل الگو، مهر زمانی و غیره است، بسیار مقاوم است. و از طریق شواهد بسیار کمی که می‌تواند توسط کارشناسان دیجیتال فارنزیک برای شناسایی فعالیت‌های غیرقانونی استفاده شود، ارائه می‌دهد.

از آنجایی که بدافزار از این نوع برای کار در حافظه طراحی شده‌است، عمر طولانی آن در سیستم تنها تا زمانی که سیستم راه‌اندازی مجدد شود وجود دارد.

تعریف 
بدافزار بدون‌فایل گاهی مترادف با بدافزار درون حافظه در نظر گرفته می‌شود، زیرا هر دو عملکردهای اصلی خود را بدون نوشتن داده‌ها روی دیسک در طول عمر عملیات خود انجام می‌دهند. این امر باعث شده‌است که برخی از مفسران ادعا کنند که این گونه متفاوت چیز جدیدی نیست و صرفاً یک «تعریف مجدد اصطلاح شناخته شده، ویروس ساکن حافظه» است، که شجره‌نامه آن را می‌توان به دههٔ ۱۹۸۰ با تولد ویروس Lehigh ردیابی کرد که توسط مبتکر این اصطلاح، فرد کوهن، توسعه یافت و با مقاله خود در مورد این موضوع تأثیرگذار شد.

اما این مترادف نادرست است. اگرچه محیط اجرای رفتاری فوق یکسان است، در هر دو مورد، یعنی هر دو نوع بدافزار در حافظه سیستم اجرا می‌شوند، تمایز اساسی روش شروع و تمدید است. بیشتر ناقل آلودگی بدافزار شامل مقداری نوشتن روی هارد دیسک است، به منظور اجرای آن، که منشأ آن می‌تواند به شکل پیوست فایل آلوده، دستگاه رسانه خارجی باشد. یواس‌بی، لوازم جانبی، تلفن همراه و غیره، مرورگر درایو بای، کانال جانبی و غیره.

هر یک از روش‌های ذکر شده باید به شکلی با هارد دیسک سیستم میزبان تماس داشته باشد، به این معنی که حتی در هنگام استفاده از مخفی‌ترین روش‌های ضد پزشکی قانونی، نوعی از باقی مانده‌های آلوده روی رسانه میزبان باقی می‌ماند.

از طرف دیگر، بدافزار بدون فایل، از نقطه شروع تا پایان فرایند (معمولاً از طریق راه‌اندازی مجدد سیستم)، هدفش این است که هرگز محتوای آن روی دیسک نوشته نشود. هدف آن اقامت در مناطق سیستم فرار مانند رجیستری سیستم، فرآیندهای درون حافظه و مناطق خدماتی است.

تاریخچه 
بدافزار بدون‌فایل یک نوع تکاملی از نرم‌افزار مخرب است که مدل ثابتی از خود-بهبودی/تقویت با حرکت به سمت سناریوهای حمله متمرکز به وضوح تعریف شده به خود گرفته‌است، که ریشه‌های آن را می‌توان به اقامتگاه حافظه پایان داد و ماندگار کرد. برنامه‌های ویروسی که پس از راه‌اندازی، در حافظه باقی می‌مانند و در انتظار وقفه سیستم قبل از دسترسی به جریان کنترل خود هستند. نمونه‌هایی از آن در ویروس‌هایی مانند فرودو، The Dark Avenger , Number of the Beast دیده شد.

این تکنیک‌ها از طریق ویروس‌های ساکن حافظه موقت تکامل یافته و در نمونه‌های معروفی مانند: Anthrax, Monxla دیده می‌شوند و ماهیت واقعی «بدون فایل» خود را از طریق ویروس‌ها/کرم‌های شبکه تزریق شده در حافظه مانند کد رد و Slammer.

روش‌های تکاملی مدرن‌تری در ویروس‌هایی مانند استاکس‌نت، دوکو ۲٫۰، پاورلینکس، Phasebot و غیره دیده شده‌است.

پیشرفت‌های اخیر 
در ۸ فوریه ۲۰۱۷، تیم تحقیقات و تجزیه و تحلیل جهانی آزمایشگاه کسپرسکی گزارشی با عنوان «حملات بدون فایل علیه شبکه‌های سازمانی» منتشر کرد که شامل انواع این نوع بدافزار و آخرین نمونه‌های آن می‌شود که ۱۴۰ شبکه سازمانی را در سراسر جهان تحت تأثیر قرار می‌دهد. بانک‌ها، شرکت‌های مخابراتی و سازمان‌های دولتی هدف اصلی هستند.

در این گزارش توضیح داده شده‌است که چگونه یک نوع بدافزار بدون فایل از اسکریپت‌های پاورشل (واقع در سیستم رجیستری مایکروسافت ویندوز) برای حمله به ماشین هدف با استفاده از چارچوب حمله متداول به نام متاسپلویت با پشتیبانی از ابزارهای حمله مانند Mimikatz, و اهرم استفاده می‌کند. ابزارهای استاندارد ویندوز مانند 'SC' و 'NETSH' برای کمک به حرکت جانبی.

این بدافزار تنها پس از شناسایی کد متاسپلویت مترپرتر توسط یک بانک شناسایی شد که در حافظه فیزیکی روی کنترل‌کننده دامنه مرکزی (DC) اجرا می‌شود.

آزمایشگاه‌های کسپرسکی تنها شرکتی نیست که چنین روندهای نوظهوری را شناسایی کرده‌است، اکثر شرکت‌های اصلی ضد بدافزار امنیت فناوری اطلاعات با یافته‌های مشابهی ارائه شده‌اند: Symantec, Trend Micro , McAfee Labs, Cybereason, و غیره.

دیجیتال فارنزیک 
ظهور بدافزارهایی که به صورت بدون فایل عمل می‌کنند، مشکل بزرگی را برای کارشناسان دیجیتال فارنزیک ایجاد می‌کند، که اتکای آنها به توانایی دستیابی به مصنوعات دیجیتال از صحنه جرم برای تضمین زنجیره بازداشت و تولید شواهد قابل قبول در دادگاه حیاتی است.

بسیاری از مدل‌های شناخته‌شده فرایند دیجیتال فارنزیک مانند: کیسی ۲۰۰۴، DFRWS 2001، NIJ 2004، کوهن ۲۰۰۹، همگی یک مرحله بررسی و/یا تجزیه و تحلیل را در مدل‌های مربوط خود تعبیه می‌کنند، به این معنی که شواهدی را می‌توان به دست آورد/جمع‌آوری کرد/ با مکانیسمی حفظ شده‌است.

این مشکل زمانی آشکار می‌شود که رویه‌های عملیاتی استاندارد کارشناسان دیجیتال فارنزیک و نحوه برخورد آنها با رایانه در صحنه جرم مشخص می‌شود. روش‌های سنتی محقق را به موارد زیر هدایت می‌کند:
 در هیچ شرایطی کامپیوتر را روشن نکنید
 مطمئن شوید که رایانه خاموش است - برخی از محافظ‌های صفحه ممکن است به این شکل ظاهر شوند که رایانه خاموش است، اما چراغ‌های فعالیت هارد دیسک و مانیتور ممکن است نشان دهند که دستگاه روشن است.
 باتری منبع تغذیه اصلی را از رایانه‌های لپ تاپ خارج کنید.
 برق و سایر دستگاه‌ها را از پریزهای خود رایانه جدا کنید

بدافزارهای بدون فایل مدل‌های پزشکی قانونی را زیر و رو می‌کنند، زیرا جمع‌آوری شواهد فقط می‌تواند در برابر تصویر حافظه‌ای که از یک سیستم در حال اجرا زنده که قرار است بررسی شود، به‌دست آمده‌است. با این حال، این روش می‌تواند به خودی خود تصویر حافظه میزبان به دست‌آمده را به خطر بیاندازد و قابل قبول بودن قانونی را زیر سؤال ببرد، یا حداقل، شک منطقی کافی را القا کند که وزن شواهد ارائه شده ممکن است به شدت کاهش یابد، و احتمال اینکه اسب تروا یا هویت اشتباه ممکن است از دفاعیات موثرتر استفاده شود.

این امر این نوع بدافزار را برای دشمنانی که می‌خواهند جای پای خود را در شبکه ایمن کنند، ردیابی حرکت جانبی را دشوار می‌سازد و این کار را به شیوه‌ای سریع و بی‌صدا انجام می‌دهند، بسیار جذاب می‌کند، زمانی که روش‌های استاندارد تحقیقاتی دیجیتال فارنزیک برای تهدید آماده نیستند.

منابع 

انواع بدافزار
جرم‌یابی قانونی رایانه‌ای