Er is een toename van aanvallen met bestandsloze malware, malware die alleen in het geheugen van de computer actief is en geen bestand op de harde schijf wegschrijft, zo stelt Microsoft. Doordat de malware alleen in het geheugen zit is die lastiger te detecteren voor anti-virussoftware.

"Anti-virusoplossingen zijn zeer effectief geworden in het detecteren van kwaadaardige uitvoerbare bestanden. Real-timebescherming biedt inzicht in elk nieuw bestand dat op de harde schijf verschijnt. Bestandsactiviteiten laten een bewijsspoor na dat kan worden gevolgd tijdens forensisch onderzoek. Daarom zien we een toename van aanvallen met malware die van bestandsloze technieken gebruikmaakt", zegt Microsofts Andrea Lelli.

Bestandsloze malware wordt vanuit de context van een legitiem proces geladen, zonder dat er een uitvoerbaar bestand op de harde schijf wordt weggeschreven. Dit verschilt van traditionele malware, waar het initieel uitvoeren van de lading altijd een uitvoerbaar bestand of dll-bestand vereist. Het voordeel van een bestandsloze aanval is dat een aanvaller niet van fysieke bestanden op de schijf afhankelijk is en zo langer onopgemerkt kan blijven.

Werd dit soort malware eerst alleen bij zeer gerichte en geraffineerde aanvallen ingezet, tegenwoordig komt het ook steeds vaker bij normale malware, aldus Lelli. Ze merkt op dat bestandsloze malware eigenlijk in drie categorieën te verdelen valt. Zo is er de malware die volledig bestandsloos is en niets naar de harde schijf wegschrijft. Dan is er de categorie die geen bestanden wegschrijft, maar wel bestanden op het systeem indirect gebruikt. Als laatste is er bestandsloze malware die alleen op het systeem kan overleven door van al aanwezige bestanden gebruik te maken.

Net als bij traditionele malware moet de code van bestandsloze malware eerst nog op het systeem zien te komen. Dit gebeurt via traditionele aanvalsvectoren, zoals een e-mailbijlage met een kwaadaardig macro-document of het gebruik van een beveiligingslek in bijvoorbeeld Microsoft Office, Adobe Flash Player of Internet Explorer, maar ook via aanvallen op hardware. Gezien de voordelen voor een aanvaller is bestandsloze malware dan ook de volgende ontwikkeling op het gebied van aanvalstechnieken, aldus Microsoft.