【Intezer 無檔案惡意程式防禦】深入解析記憶體攻擊機制，打造主動式資安防線

Estrella Wei
7月8日
讀畢需時 6 分鐘

已更新：9月12日

作者：Shannon McFarland ｜編譯：AIShield 編輯部｜發稿日期：2025 年 7 月 7 日

理解隱形攻擊機制，強化記憶體安全韌性

無檔案惡意程式（Fileless Malware）近年來成為網路攻擊中最複雜的威脅之一。這類潛藏於系統中的攻擊，利用作業系統漏洞發動攻擊，卻不在硬碟上留下任何傳統檔案的痕跡。

本文將說明什麼是無檔案惡意程式，透過真實案例（包括深入探討 PowerShell 為基礎的攻擊）剖析其運作手法，並提供可行的防禦策略。

什麼是無檔案惡意程式？

無檔案惡意程式是一種完全存在於電腦記憶體中的網路威脅，不需依賴傳統檔案儲存方式。攻擊者透過作業系統內建的合法工具與應用程式，潛入系統、操控操作流程，行蹤極為隱密。儘管「純記憶體型惡意程式碼」的概念並不新穎，早在 2001 年的 Code Red 蠕蟲就已出現，但這類威脅的使用頻率近年急遽上升。

理想的惡意程式是不留檔案痕跡的。不過值得注意的是，這類攻擊在初始階段仍可能利用檔案來引導後續行動。例如，透過文件或腳本下載記憶體中的有效負載（payload）。

記憶體內部攻擊手法

傳統惡意程式依賴可執行檔運作，但無檔案惡意程式則透過記憶體漏洞進行攻擊。2014 年的 Poweliks 木馬是經典案例，它完全寄宿於 Windows 登錄檔中，不需在磁碟上建立任何檔案。Poweliks 利用 Microsoft Word 的漏洞，透過一封夾帶 Word 檔的電子郵件，建立一組隱藏的自動啟動登錄機碼，藉此在系統重新啟動後仍能持續運作。後續階段則依序執行 JScript 程式碼、PowerShell 腳本，最終載入 Poweliks 的惡意程式碼。

利用原生工具（LotL）攻擊

無檔案惡意程式常見的手法是 LotL 攻擊，也就是濫用系統原生合法工具，例如 PowerShell 或 Windows Management Instrumentation（WMI）等，來執行惡意操作。這類行為往往躲過傳統偵測機制，極難察覺。

例如，Mandiant 所揭露的後門程式 POSHSPY，就是利用 PowerShell 與 WMI 執行攻擊。它僅透過合法程序執行惡意行為，僅能透過進階日誌記錄或記憶體分析才能偵測。

無檔案惡意程式攻擊的常見形式

漏洞攻擊套件（Exploit Kits）：這類惡意工具可自動化利用瀏覽器、外掛或作業系統中的已知漏洞，將惡意程式植入受害系統。通常透過惡意網站或被植入惡意程式的合法網站進行傳播。
合法系統工具濫用（LotL 攻擊）：攻擊者使用像 PowerShell、WMI 或命令列工具等系統原生程式，執行攻擊流程。由於這些工具本就存在於系統中，因此更容易躲避偵測。
寄宿於登錄檔的惡意程式（Registry-Resident Malware）：這類惡意程式將自身隱藏於 Windows 登錄檔中，達成持久化目的，即使重新啟動系統也能繼續存活。
僅存在於記憶體的惡意程式（Memory-Only Malware）：這類攻擊完全在揮發性記憶體（RAM）中執行，硬碟上無任何痕跡。通常透過程式碼注入等技巧，直接在記憶體中執行惡意邏輯，避開檔案型偵測。
無檔案勒索軟體（Fileless Ransomware）：此類勒索軟體會在記憶體中進行檔案加密，或利用其他非檔案方式進行勒索，藉此繞過以檔案為核心的資安防線。
被竊取的帳號憑證（Stolen Credentials）：攻擊者可能透過釣魚、資料外洩或憑證填充攻擊等方式，取得帳號密碼後登入系統執行無檔案攻擊。

這些不同攻擊手法呈現了無檔案威脅的多樣性。因應之道需結合技術防禦、使用者教育與主動防護機制。

使用 PowerShell 執行無檔案攻擊

PowerShell 是 Windows 系統內建的腳本語言，也成為無檔案攻擊中最常見的工具之一。攻擊者利用它在記憶體中直接執行命令與腳本，完全不產生磁碟檔案。例如前述的 POSHSPY，就是典型的 PowerShell 攻擊載荷範例。

PowerShell 作為攻擊入口：因為 PowerShell 預設安裝於 Windows 中，攻擊者可利用它執行惡意命令或下載有效負載，提升攻擊可行性。
LotL 攻擊的延伸應用：PowerShell 可用於從資訊蒐集、橫向移動到資料外洩的多個攻擊階段，不需任何額外的惡意檔案。
腳本混淆與規避技術：攻擊者會透過混淆技術、規避腳本記錄機制、使用編碼指令等方式，繞過傳統防毒軟體的偵測。
程式碼注入：惡意 PowerShell 程式碼可能直接注入合法程序的記憶體空間中，完全不依賴可偵測的執行檔。
後滲透行動：PowerShell 也常被用來進行權限提升、載入後續攻擊模組等，形成多階段、難以回應的威脅。
偵測難度高：由於 PowerShell 也廣泛應用於日常系統管理中，區分正常與異常活動是資安防禦上的一大挑戰。若使用 Intezer，則可透過 AI 引擎自動分析 PowerShell 與其他腳本行為，有效辨識潛在威脅。