我们熟悉“恶意软件”这个词：几十年里它破坏数据并不断被反恶意软件软件和反病毒软件防止。用词不言而喻恶意软件通常以可执行文件或DLL形式将它的恶意行为传递给它的主要寄生体。

多年来，安全公司对恶意软件的研究已非常深入，研究人员和开发人员对于此类活动的机理、特点有深入的理解。所以，网络犯罪分子也应了解，他们必须发明或探索新的攻击媒介，这便是“LotL”无文件攻击的方式，这种做法在过去的几十年里屡试不爽，在Unix操作系统中大行其道。最近在Windows系统上又重新启动了此模式，让安全专家和网络犯罪分子都始料未及。

什么是“无文件”攻击?

无文件攻击是一个广泛的威胁概念，但其定义较为宽泛，不固定。简单来说，无文件攻击指的是磁盘上没有明确指定的恶意文件。在这样的环境中，通过合法的应用程序和流程来执行恶意活动成为可能，比如特权升级、有效负载交付以及数据收集等操作。

执行“没有文件”攻击

和其他的攻击类一样，无文件攻击也有一个交付阶段和持续的渗透活动以及最终让攻击者能实现目的的执行阶段。

在无文件或LotL中，感染通常是通过漏洞利用、脚本、宏或链接实现的。包括宏、私家侦探，侦探公司，调查公司，查人找物，商务调查，出轨外遇调查，婚外情调查，私人调查，19209219596VB脚本、PowerShell脚本或其他使用系统命令(例如netsh)创建文档都属于无文件攻击类别，并且符合LotL标准。这种威胁也同样适用于不在磁盘上存储任何文件的仅内存Shellcode执行的情况。

此外，在将Dual-Use工具用于破解时，特别是在Mimikatz或Pwdump被存储在磁盘中时，并且此行为不被认为包含有文件泄露的行为或是勒索软件活动。

通过远程代码执行(RCE)漏洞在内存中运行Shellcode来启动被称为“挂马”。通常，在电子邮件中携带合法内容或者隐藏于系统文件中的LNK格式的链接是最常见的方法。网络犯罪分子会发一封带有人性化的邮件给你，如钓鱼邮件，当点击链接时浏览器内部就会利用漏洞并在内存执行恶意命令：抓取你重要的数据、实施非法加密挖掘或对文件进行加密，以在稍后勒索你。

复杂无文件攻击常利用下载器或部分解密来实施一系列阶段，并且可能也如使用猜解密码方式来滥用系统软件工具一样简单。

利用脚本进行的攻击是最受欢迎的，恶意脚本通常会通过电子邮件附件来传播，并在到达目标程序时被执行。

一旦计算机遭受破坏，威胁可能是也可能不是单个文件造成的。这种类型的威胁可能持续存在也可能很快被清除；如果攻击者的目标明确且持久，则威胁将持续存在。无文件的落地点是恶意脚本经常使用的地方。这些脚本通常存储在注册表或Windows ManagementInstrumentation（WMI）中，这是一个由微软开发的规范集，用于整合Wi私家侦探，侦探公司，调查公司，查人找物，商务调查，出轨外遇调查，婚外情调查，私人调查，19209219596ndows计算系统中的设备和应用程序管理。

最后，为执行或传递恶意有效载荷，网络犯罪分子通常会使用合法的、双用工具。例如，他们可能会利用您已经安装的应用程序，如Microsoft Word (VBScript) 或certutil可执行程序中的受信任组件。恶意代码可以通过这些应用程序中已安装的应用程序注入到它们内部，从而可以对应用进行劫持或编排以执行特定的操作。 我们之前也介绍了两个网络犯罪分子广泛使用的工具：PowerShell 和Windows Management Instrumentation，以及使用Microsoft PowerShell 的攻击通常会通过小型脚本下载其他脚本并将其直接加载到内存中来执行。在dualuse的案例中，命令行执行如下所示：

如何阻止Anknox阻止无文件攻击？

正如你期待的那样，Acronis Cyber Protect 通过其多层威胁响应方法可以有效检测和阻止恶意软件。

AnkrosBehaviorEngine监视PowerShell和其他应用程序，并分析它们执行任务的情况。这使得我们能够检测到异常和罕见的行为模式。这意味着，如果某脚本在常规情况下通常会执行的恶意软件活动或者这些操作可能会导致系统受损，那么该脚本将被停止。管理员会收到通知。

安克诺斯基于人工智能的静态分析器也经过了训练可以检查正在运行的脚本的结果从而提供第二意见和另一层安全性如果攻击者通过服务器未能正确打补丁而能够上传初始脚本则意味着没有漏洞评估与补丁管理功能 Acronis Cyber Protect 可以借助嵌入式漏洞评估与补丁程序管理功能帮助防御此类攻击媒介借助这些功能甚至可以在安克诺斯行为式引擎或基于人工智能的分析器之前就停止攻击

如果是零日漏洞，则Acronis Cyber Protect 将做出反应。

比如，Acronis Cyber Protect 会扫描Windows注册表来查看危险的异常攻击。

总结而言，Acronis Cyber Protect系统使用以下技术以检测并阻止针对文件的不安全无文件攻击：