راهنمای مطالعه
Add a header to begin generating the table of contents
IPS و IDS چیست؟ وچرا باید در سازمان از Symantec IPS استفاده کرد؟
۱۴۰۳-۰۳-۱۳
نحوه ارسال فایل‌ها به محیط Sandbox در آنتی ویروس سیمانتک
۱۴۰۳-۰۷-۲۸ تعریف و مفهوم حملات Fileless
حملات Fileless که به آنها حملات بدون فایل نیز می‌گویند نوعی از حملات سایبری هستند که در سال‌های اخیر به شدت رواج یافته‌اند. این حملات، به جای استفاده از فایل‌های مخرب برای ایجاد خسارت از ابزارها و فرآیندهای سیستم عامل میزبان استفاده می‌کنند تا به هدف خود برسند.
در حقیقت حملات Fileless به منظور اجرای کدهای مخرب بدون نیاز به ذخیره‌سازی فایل‌های مخرب بر روی دیسک سخت سیستم هدف طراحی شده‌اند. این حملات با استفاده از تکنیک‌هایی مانند Living off the Land (LoL) و Living off the Land Binaries (LoLBins)، از ابزارهای سیستم عامل میزبان برای اجرای کدهای خود استفاده می‌کنند.
چرا حملات Fileless خطرناک هستند؟
- از آنجا که حملات Fileless از فایل‌های مخرب استفاده نمی‌کنند تشخیص آنها بسیار دشوار است. این حملات می‌توانند از رادارهای امنیتی عبور کنند و بدون اینکه توجه کاربر را جلب کنند به فعالیت خود ادامه دهند.
- در حملات Fileless مهاجمان به جای استفاده از فایل‌های مخرب، از ابزارها و فرایندهای موجود در سیستم میزبان بهره می‌برند تا به سیستم نفوذ کرده و کنترل آن را به دست بگیرند. این روش، حملات را بسیار موثر و خطرناک می‌سازد زیرا تشخیص و مقابله با آنها دشوارتر است.
تفاوت حملات Fileless با حملات سنتی سایبری
حملات Fileless یا بدون فایل نوعی از حملات سایبری هستند که به جای استفاده از فایل‌های مخرب بر روی دستگاه هدف از ابزارها و فرآیندهای سیستم عامل استفاده می‌کنند. این حملات در مقایسه با حملات سنتی سایبری که معمولاً از نرم افزارهای مخرب استفاده می‌کنند تفاوت‌های چشمگیری دارند.
نحوه عملکرد
حملات سنتی سایبری معمولاً از یک فایل مخرب استفاده می‌کنند که باید بر روی دستگاه هدف نصب شود. این فایل می‌تواند به صورت یک ایمیل ضمیمه شده، یک برنامه دانلود شده یا حتی یک لینک خطرناک باشد. در مقابل، حملات Fileless از ابزارهای موجود در سیستم عامل استفاده می‌کنند، بنابراین نیازی به نصب یا دانلود فایل خاصی نیست.
قابلیت تشخیص
- حملات سنتی سایبری: این حملات معمولاً قابل تشخیص هستند زیرا از فایل‌های مخرب استفاده می‌کنند که می‌توانند توسط برنامه‌های ضد ویروس شناسایی شوند.
- حملات Fileless: این حملات برای تشخیص بسیار سخت‌تر هستند زیرا از ابزارهای موجود در سیستم عامل استفاده می‌کنند و هیچ فایل مخربی را بر روی دستگاه هدف نصب نمی‌کنند.
اقدامات پس از حمله
در حملات سنتی سایبری، برای حذف تهدید کافی است فایل یا برنامه مخرب را حذف کنید. اما در حملات Fileless حذف تهدید بسیار پیچیده‌تر است زیرا باید تمام ابزارها و فرآیندهای مورد استفاده توسط حمله کننده را شناسایی و تصحیح کنید.
میزان خطر
حملات Fileless به دلیل قابلیت پنهان شدن بیشتر و دشوار بودن تشخیص و حذف آنها خطرناک‌تر از حملات سنتی سایبری هستند. این حملات می‌توانند به راحتی از دستگاه‌های امنیتی عبور کنند و به اطلاعات حساس دسترسی پیدا کنند.
چگونگی کارکرد حملات Fileless
حملات Fileless، نوعی از حملات سایبری هستند که بدون نیاز به فایل‌های سنتی مانند فایل‌های اجرایی (.exe) به سیستم‌ها نفوذ می‌کنند. در این حملات بدافزار در حافظه‌ی RAM سیستم اجرا می‌شود و از نوشتن فایل بر روی دیسک جلوگیری می‌شود به همین دلیل، شناسایی و ردیابی این نوع حملات توسط نرم‌افزارهای آنتی‌ویروس سنتی سخت‌تر است. در ادامه به مراحل و روش‌های کارکرد حملات Fileless می‌پردازیم.
دسترسی اولیه
- اکسپلویت‌های وب (Web Exploits): هکرها با استفاده از ضعف‌های موجود در مرورگرها یا افزونه‌ها می‌توانند کد مخرب را به‌صورت مستقیم در حافظه مرورگر اجرا کنند.
- فیشینگ (Phishing): هکرها با ارسال ایمیل حاوی لینک‌های مخرب یا ماکروهای آلوده در اسناد کاربر را به اجرای کد مخرب ترغیب می‌کنند.
- استفاده از ابزارهای مدیریت سیستم: ابزارهایی مانند PowerShell و Windows Management Instrumentation (WMI) که به صورت قانونی توسط مدیران سیستم استفاده می‌شوند مورد سوءاستفاده قرار می‌گیرند.
اجرا در حافظه
- PowerShell: هکرها می‌توانند اسکریپت‌های مخرب را مستقیماً در PowerShell اجرا کنند که به آنها اجازه می‌دهد به حافظه سیستم دسترسی پیدا کنند و کدهای مخرب خود را اجرا کنند.
- Memory Injection: بدافزار ممکن است به فرآیندهای در حال اجرا حمله کنند. این فرآیند به‌خصوص در سیستم‌های ویندوز با استفاده از ابزارهایی مانند Reflective DLL Injection یا Process Hollowing انجام می‌شود.
پنهان‌سازی و فرار از شناسایی
- استفاده از ابزارهای سیستم: بدافزار با استفاده از ابزارهای استاندارد سیستم مانند PowerShell یا WMI، فعالیت‌های خود را پنهان می‌کند.
- تکنیک‌های مبهم‌سازی (Obfuscation): کد مخرب معمولاً با روش‌های مبهم‌سازی رمزگذاری می‌شود تا شناسایی آن دشوار شود.
- عدم نوشتن بر روی دیسک: با اجرای کد در حافظه هیچ اثری از بدافزار روی دیسک باقی نمی‌ماند که این موضوع شناسایی آن را برای آنتی‌ویروس‌ها سخت‌تر می‌کند.
دسترسی دائمی و انتقالات
- حفظ دسترسی (Persistence): بدافزارهای Fileless معمولاً تلاش می‌کنند تا دسترسی خود را از طریق تغییرات در رجیستری یا استفاده از Task Scheduler ویندوز حفظ کنند.
- ارتباطات شبکه: بدافزار می‌تواند از طریق ارتباطات شبکه به سرورهای کنترل و فرماندهی (C2) ارتباط برقرار کند و دستورات جدید را دریافت کند.
تاثیرات و خسارت‌های احتمالی حملات Fileless بر سازمان‌ها
حملات Fileless یکی از تهدیدات جدی و پیچیده در عرصه سایبری به شمار می‌روند که می‌توانند تاثیرات و خسارت‌های سنگینی بر سازمان‌ها بگذارند. این حملات با استفاده از تکنیک‌های پیشرفته توانسته‌اند از سیستم‌های امنیتی سنتی عبور کنند و به اطلاعات حساس سازمان‌ها دسترسی پیدا کنند.
خسارت‌های مالی
یکی از تاثیرات مهم حملات Fileless خسارت‌های مالی است. این حملات می‌توانند از طریق سرقت مستقیم اطلاعات مالی و ایجاد اختلال در عملکرد سازمان باعث بروز خسارت‌های مالی سنگین برای سازمان‌ها شوند.
از دست دادن اعتماد مشتریان
حملات Fileless می‌توانند باعث از دست دادن اعتماد مشتریان به سازمان شوند. این امر می‌تواند منجر به کاهش فروش و در نهایت خسارت‌های مالی شود.
آسیب به شهرت سازمان
یک حمله موفق Fileless می‌تواند به شهرت سازمان آسیب بزند. این خسارت ممکن است به مرور زمان بازیابی نشود و تاثیرات طولانی مدتی بر سازمان داشته باشد.
هزینه‌های بازیابی
بازیابی از یک حمله Fileless می‌تواند هزینه‌بر باشد. این هزینه‌ها می‌توانند شامل بازیابی داده‌ها، تعمیر و نگهداری سیستم‌ها، آموزش مجدد کارکنان و ارتقاء سیستم‌های امنیتی باشد.
راه‌های پیشگیری و مقابله با حملات Fileless در سازمان‌ها
حملات Fileless یکی از پیچیده‌ترین و خطرناک‌ترین تهدیدات سایبری هستند که سازمان‌ها با آنها مواجه هستند. با این حال، با استفاده از راهکارها و روش‌های مناسب، می‌توان از سازمان در برابر این نوع حملات محافظت کرد. در ادامه به برخی از این راهکارها اشاره می‌کنیم.
آپدیت و به‌روزرسانی نرم افزارها
یکی از راه‌های موثر برای مقابله با حملات Fileless، به‌روزرسانی منظم نرم‌افزارها و سیستم عامل‌ها است. بسیاری از حملات Fileless از آسیب پذیری‌های موجود در نرم افزارهای قدیمی استفاده می‌کنند. بنابراین با به‌روز رسانی منظم می‌توان این آسیب پذیری‌ها را برطرف کرد.
استفاده از ابزارهای امنیتی پیشرفته
- راه حل‌های امنیتی مدرن مانند راه‌حل‌های EDR (Endpoint Detection and Response) و XDR (Extended Detection and Response) می‌توانند به شناسایی و جلوگیری از حملات Fileless کمک کنند.
- ابزارهای مدیریت واقعیت مجازی (VRM) و سیستم‌های امنیت اطلاعات (ISMS) نیز می‌توانند در مقابله با این نوع حملات موثر باشند.
آموزش کارکنان
کارکنان باید در مورد خطرات حملات Fileless و چگونگی جلوگیری از آنها آموزش ببینند. این می‌تواند شامل تشخیص ایمیل‌های هرزنامه، استفاده از رمز عبور قوی و عدم باز کردن فایل‌های ناشناخته باشد.
استفاده از سیاست‌های امنیتی سختگیرانه
اعمال سیاست‌های امنیتی سختگیرانه مانند محدود کردن دسترسی کاربران به منابع حساس می‌تواند به مقابله با حملات Fileless کمک کند.