分類: 無檔案式惡意程式 Fileless Malware

趨勢科技研究人員發現了一個新的 PowerGhost 變種會利用 EternalBlue(永恆之藍)  、MSSQL 和 Secure Shell (SSH) 暴力破解等攻擊手法來感染  Linux 系統，但根據以往的認知，此惡意程式只會攻擊 Windows 系統。

PowerGhost 是一個無檔案式虛擬加密貨幣挖礦程式，專門攻擊企業伺服器和工作站，能夠隱藏自己並將自己散布至各種端點和伺服器，它所利用的是 Windows 內建的 PowerShell 工作自動化與組態管理工具。不過，現在這項威脅也開始擴散至 Linux 系統。

我們偵測到的 PowerGhost 變種會根據受害電腦的作業系統來使用不同的惡意程式。在 Windows 系統上，它會使用以 PowerShell 為基礎的 PowerGhost (就像之前的變種)，在 Linux 系統上則是使用一個包含多重元件的惡意程式。

駭客透過無檔案式威脅，利用系統上原有的應用程式來攻擊系統。本文探討一些值得關注的攻擊事件和技巧，以及可偵測無檔案式威脅並防範相關攻擊的最佳實務原則。

在傳統的資安威脅中，駭客大多經由電子郵件、檔案或網站在受害系統上安裝惡意程式。但無檔案式威脅有別傳統惡意程式，不會透過惡意軟體或執行檔來感染系統，而是利用系統內建的工具和應用程式來發動攻擊，也就是利用系統工具來攻擊系統。

無檔案式威脅並無可辨識的特徵碼來觸發傳統資安軟體的偵測機制，所以才能越過傳統的資安防護，並且濫用了原本正當用途的工具。

何謂無檔案式攻擊？

無檔案式攻擊是一種利用系統內建應用程式來攻擊系統的惡意手法，有別於在系統上偷偷安裝惡意軟體的攻擊。無檔案式攻擊，基本上是濫用了系統原本受到信賴的應用程式、軟體或通訊協定，所以不需仰賴惡意程式來執行攻擊。