Детект fileless-атак через memfd_create
Fileless-подходы популярны, потому что оставляют минимум следов на диске. На Linux ключевой примитив — memfd_create, позволяющий создавать анонимные “файлы” в памяти, которые затем можно запускать или использовать для инжекта.
Как это используют атакующие
Типовой сценарий:
- полезная нагрузка загружается или расшифровывается в памяти;
- payload записывается в memfd;
- payload исполняется без сохранения на диск.
Такой путь усложняет классический анализ “вредоносного файла”.
Почему это опасно
Fileless-исполнение:
- обходит многие file-based детекты;
- оставляет меньше артефактов для форензики;
- ускоряет staging и дальнейшее развитие атаки.
Даже короткоживущий payload может нанести серьёзный ущерб.
Как детектить без лишнего шума
Не каждый memfd_create — это атака. Легитимное ПО тоже использует этот syscall. Поэтому нужен баланс:
- срабатывание на подозрительные сочетания процесса и memfd-активности;
- исключения для известных безопасных паттернов;
- тестируемая логика правил, чтобы не ломать качество детекта при изменениях.
Встроенное правило SecureExec fileless_execution как раз построено под этот баланс: ловить подозрительные in-memory сценарии и снижать ложные срабатывания.
Как SecureExec помогает расследовать
SecureExec сохраняет в Elasticsearch и алерт, и связанные сырые события. Это даёт быстрые ответы:
- какой процесс создал memfd;
- какой был родительский процесс;
- что происходило до и после в той же временной линии.
Так аналитик получает доказательную картину, а не только “один тревожный сигнал”.
Перейдите от догадок к фактам
Fileless-техники будут только расти. Нужны надёжная телеметрия, realtime-алерты и история для ретроспективы.
Используйте SecureExec, чтобы вовремя видеть подозрительное использование memfd_create и уверенно расследовать инциденты.