Fileless Malware

Définition

Le malware sans fichier (fileless malware) désigne des attaques où le code malveillant s'exécute entièrement en mémoire, sans écrire de fichier exécutable sur le disque dur. Cette approche contourne les antivirus basés sur la détection de fichiers et complique considérablement l'analyse forensique post-incident. Les techniques fileless exploitent des fonctionnalités légitimes du système d'exploitation : PowerShell (exécution de scripts directement depuis la mémoire ou depuis des URL), WMI (exécution de code via les abonnements d'événements), les macros Office (téléchargement et exécution de code depuis des URLs lors de l'ouverture d'un document), les scripts .NET compilés en mémoire, et les LOLBins (Living Off the Land Binaries) comme mshta.exe, regsvr32.exe, certutil.exe, rundll32.exe utilisés pour exécuter du code arbitraire. La chaîne d'attaque fileless typique : un leurre (email de phishing avec macro, lien vers une page web malveillante) déclenche l'exécution d'un premier stager via un LOLBin, qui télécharge et exécute en mémoire un deuxième stage (souvent un framework C2 comme Cobalt Strike ou Meterpreter), qui établit la persistance via WMI ou COM hijacking et effectue les opérations post-exploitation entièrement en mémoire. Les techniques d'injection de shellcode en mémoire (Process Injection, Reflective DLL Loading, Module Stomping) permettent d'exécuter des payloads arbitraires sans écriture sur disque. Le chiffrement et l'encodage des payloads dans des variables d'environnement, des valeurs de registre, ou des fichiers de données (JPG contenant du code via stéganographie) masquent davantage la présence du malware. La détection du malware fileless nécessite une approche comportementale et mémoire : les solutions EDR analysent le code exécuté en mémoire (memory scanning), surveillent les comportements suspects indépendamment de l'origine (fichier vs. mémoire), et analysent les communications réseau. AMSI (Antimalware Scan Interface) de Microsoft inspecte le contenu de tous les scripts PowerShell/VBScript avant exécution.