ファイルレスマルウェア
実行ファイルをディスクに書き込まず、メモリ上だけで動く悪意あるコード。ファイル検査型のアンチウイルスには見えない。RAMやPowerShellのセッションに潜み、永続化の仕掛けはレジストリやWMIに隠す。
.exeをディスクに落とせばアンチウイルスに検査される。そこで、正規プロセスのメモリに直接コードを注入する、PowerShellやスクリプトで実行する、再起動後も生き残るようレジストリ、WMIデータベース、タスクスケジューラといった意外な場所に潜ませる、といった手が使われる。シグネチャと照合するファイルが存在しないため、従来型のAVは見逃す。
OSに標準で入っているツールを悪用するLiving off the landとは密接に絡み、攻撃の連鎖全体がファイルレスということも多い。対策は、RAM内の動きやプロセスの挙動を見る振る舞い検知型・メモリスキャン型のEDR、PowerShellやスクリプトホストの監視、不審なメモリ注入の遮断だ。シグネチャ型の防御が容易に回避されるようになったことへの答えであり、現代の侵入の主流の手口の一つになっている。