部門より不正なコードをファイルに書き込むことなしに実行するようなマルウェアが近年増加傾向にあるという。したマルウェアはその痕跡がファイルとしては残らないため、既存のセキュリティソフトでは検出が難しいそうだ(ITmedia)。いった攻撃手法は「ファイルレス攻撃」などと呼ばれており、プログラムの脆弱性を悪用して不正なコードを直接メモリ内に展開させて実行させたり、攻撃対象内にインストールされているPowerShellなどのツールを悪用することでその活動が検出されることを防ぐという。一時的にファイルを書き込むも、その後そのファイルを削除する、もしくはその内容を0で上書きするような挙動を行うのもあるという(McAfeeの「ファイルレス攻撃解説」ホワイトペーパー)。PowerShellがよく悪用されるのは、メモリ上にダウンロードしたコードを直接実行する仕組みがサポートされているからだそうだ。多くの場合システムが再起動されるとこれらマルウェアは活動が止まるが、レジストリやファイルシステム以外のストレージを活用することで持続的に攻撃を行うものもあるという。PowerShellが攻撃に悪用される可能性については以前より指摘されていた(ITmediaの2017年記事)。(#3753405)ファイルレスでエロ画像やエロ動画が見られるのなら痕跡が残らないので安心だな。(#3753454)PowerShellというより.NETの機能として、メモリ上の.NETモジュールのバイナリをロードできるので、それのことかな。本体のマルウェアをネットワークからダウンロードしてメモリ上に展開し、.NETランタイムにロードすることで、ディスクに書き込まずに悪意あるプログラムを実行できる。PowerShellは.NETランタイムで動作しているので、読み込まれたモジュールを直接呼び出せる。「検知にファイルベースのアプローチをするほとんどのセキュリティソリューションは動作監視をしていたとしてもファイルレス攻撃を検知できない」とある。.NETではバイト配列からアセンブリを読み込めるんですね。いえ、本体のダウンロード、読み込みを行うPowerShellスクリプトは必要になるので、検出するのはさほど難しくない気はしますが。PowerShellは難読化しやすいとも書いてあるけど、うーん、どうかな。Cowardマルウェアかどうか判定するのは簡単かな?すべて公開APIで可能な処理だし、「外部URLからダウンロードしたアセンブリを読み込むプログラム」というだけでマルウェア扱いはできない気がする。paperにはこれを複数段階かませてるって書いてあるし、結構手ごわいのでは。Coward>ダウンロード先のURLで判断するくらいだがホワイトリストで対応するしかないでしょうね。開発者くらいでしょう、リストに追加する必要が生じるのは。iex)というコマンドがあります。[chocolatey.org]何となくニュアンスはつかめると思いますが、ネットからDLしたスクリプトをそのまま実行出来てしまうという凶悪な機能です。Coward意味がわからん。一般的な文化となっている、方が明らかにやばい。(#3753663)PowerShellなんてデフォルトじゃスクリプトの実行すら許されてない。Cowardむしろこんな凶悪な機能をブロックする程度のセキュリティとかテラバイト級のメモリの対応とかモバイルOSとの連携とか「モダンOS」の最低限の要件だと思うんだ。問題視だけで脆弱性扱いにならない理由は省略。それはbashでもPSでも共通である。Proをdisってて草。オメーAppleアンチだな。Macでもようやく1T超のメモリを扱う環境が出て来たが(金さえ積めば)Linux/Winに比べてMacはX年遅れなんだよな。ハードウェアの縛りのキツいエコシステムだから仕方ないが。CowardInvoke-ExpressionなんてPowerShell上のコマンド実行できる前提の危険性アピールなんか意味ないだろ。evalとか知らないの?そんなん使わなくてもpowershel.exeから直接PowerShellコマンドを送れる。そもそもマルウェアに実行権限握られてる時点でアウトだよ。PowerShellはマルウェアにとっても便利なツールってだけ。CowardInvoke-Expression自体はネットからダウンロードしてないやんけ!Install-Packageをディスったほうがいいんじゃないでしょうか。Cowardホワイトペーパーの下記の部分が気になりますね。マシンBのレジストリから読み込んで実行しちゃうとか。Cowardある意味、ブラウザと同じ。必要なスクリプトやアセットを、いったんローカルに保存しなくてもいいでしょ(キャッシュしたりはするけど)。旧来のマルウェアは、いったんローカルディスクに保存して、それをロードするような設計のものが意外に多かった。投げてみよう、なんてことも、捕まえてしまえば簡単だった。[togetter.com]みたいな話だったりして。(#3753712)どうやってるか分かるかもね、OSの仮想メモリの扱い方とかの知識も必要だね、OSは奥が深いねここに返信シェアより多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。Delete残りのコメントを取得27/27コメントを表示タレコむ私はプログラマです。service.閉じるスラド読み込み中...。