złośliwe oprogramowanie bezplikowe

Złośliwe oprogramowanie bezplikowe (fileless malware) to złośliwy kod, który działa w pamięci operacyjnej albo w mechanizmach systemu, takich jak rejestr, repozytorium WMI czy interpretery skryptów, i nie zostawia na dysku własnego pliku wykonywalnego. Microsoft zaznacza, że pojęcie nie ma jednej definicji i bywa używane szeroko, także wobec rodzin, które częściowo korzystają z plików ^[1]. Wspólną cechą jest to, że skaner sprawdzający pliki na dysku nie ma czego znaleźć albo znajduje tylko nieużyteczne śmieci. Jest to odmiana złośliwego oprogramowania (malware), wyróżniona sposobem ukrywania, a nie celem działania.

Jak działa

Atak składa się z kilku etapów, takich jak uruchomienie, utrwalenie i kradzież danych; według Microsoftu tylko część łańcucha może być bezplikowa, a inne etapy mogą korzystać z systemu plików ^[1]. Typową techniką jest ładowanie refleksyjne. MITRE ATT&CK opisuje je jako przydzielenie pamięci i wykonanie ładunku (payload) bezpośrednio w pamięci procesu, zamiast uruchamiania wątku lub procesu z pliku na dysku ^[2]. Pozwala to uniknąć tworzenia plików i innych śladów oraz trzymać ładunek zaszyfrowany aż do wykonania ^[2]. Technika jest pokrewna process injection, z tą różnicą, że kod trafia do pamięci własnego procesu ^[2].

Przebieg typowego łańcucha pokazuje schemat poniżej.

RYS. 1Łańcuch infekcji bezplikowej

Wykorzystanie wbudowanych narzędzi systemu, takich jak PowerShell czy WMI, łączy się ze strategią living off the land (LotL). Microsoft zwraca uwagę, że skrypty są plikami tekstowymi, a nie binarnymi, i działają w kontekście czystego, legalnego interpretera ^[1].

Odmiany

Microsoft dzieli zagrożenia bezplikowe na trzy typy według tego, ile śladów zostawiają na zarażonej maszynie ^[1].

Typ I obejmuje też kod w oprogramowaniu układowym, na przykład w BIOS-ie albo urządzeniu USB ^[1]. Microsoft ocenia takie zagrożenia jako groźne, ale rzadkie i mało praktyczne w większości ataków ^[1]. Typ II według Microsoftu nie wymaga znacznego nakładu pracy inżynierskiej ^[1]. Dlatego tylna furtka (backdoor) albo RAT (remote access trojan) może utrwalić się w kluczach autostartu rejestru albo w subskrypcji zdarzeń WMI, bez własnego pliku wykonywalnego ^[1].

W WordPressie

Pojęcie pochodzi ze świata stacji roboczych Windows, ale ma odpowiednik na stronach WordPress: złośliwy kod przechowywany w bazie danych zamiast w plikach PHP. Przykładem jest luka CVE-2023-6000 we wtyczce Popup Builder. WPScan opisał ją jako stored XSS bez uwierzytelnienia: wtyczka nie blokowała anonimowym użytkownikom modyfikacji istniejących okienek, co pozwalało wstrzyknąć złośliwy JavaScript ^[5]. Poprawka pojawiła się w wersji 4.2.3 ^[5].

CERT Polska podał, że 13 grudnia 2023 roku kampania Balada Injector zaczęła wykorzystywać tę lukę do infekowania stron ^[6]. Udane wykorzystanie pozwalało wykonać w panelu dowolną czynność, w tym zainstalować wtyczki i utworzyć nowe konta administratorów ^[6]. Objawem dla odwiedzających było złośliwe przekierowanie ^[6].

Z punktu widzenia obrońcy ważna jest lekcja, nie etykieta. Porównanie plików rdzenia i wtyczek z oryginałami nie wykryje kodu, który siedzi w tabelach bazy. Dlatego skaner musi sprawdzać także treść. Wordfence deklaruje skanowanie plików, wpisów i komentarzy pod kątem niebezpiecznych adresów URL i podejrzanej treści ^[7]. CERT Polska zaznacza, że po infekcji nie wystarczy usunąć podatnej wtyczki: należy założyć, że atakujący miał pełny dostęp do plików strony i do połączonej bazy danych ^[6].

Zagrożenia i skutki

Najważniejszym skutkiem jest słabsza skuteczność klasycznych skanerów. Sekurak, opisując kampanię trojana DesckVB RAT, podaje, że wczytywanie złośliwych instrukcji bezpośrednio do pamięci RAM techniką Reflective Loading pozwala ominąć tradycyjne skanery antywirusowe i utrudnia późniejszą analizę powłamaniową ^[4]. Drugi skutek dotyczy informatyki śledczej: po restarcie maszyny część śladów znika razem z zawartością pamięci. Microsoft zauważa natomiast, że kod w oprogramowaniu układowym przetrwa ponowne uruchomienie, formatowanie dysku i reinstalację systemu ^[1].

Jak się bronić

Skoro nie ma pliku do porównania z sygnaturą, wykrywanie sygnaturowe musi zostać uzupełnione obserwacją zachowania. Microsoft wymienia jako swoje mechanizmy przeciw zagrożeniom bezplikowym interfejs AMSI, monitorowanie zachowania, skanowanie pamięci i ochronę sektora rozruchowego ^[1]. Obserwacja zachowania jest istotą systemów klasy EDR (Endpoint Detection and Response). Na serwerze WordPress odpowiednikiem jest przegląd bazy danych, kont użytkowników i ustawień wtyczek, a nie tylko plików.

Wejściem do ataku jest najczęściej niezałatana luka albo socjotechnika. W kampanii Amaranth-Dragon punktem wejścia była luka CVE-2025-8088 w WinRAR, a końcowy ładunek działał w pamięci RAM bez zapisu na dysku ^[3]. Sekurak wskazuje, że sukcesowi kampanii sprzyjał brak automatycznych aktualizacji w tym programie ^[3]. Dla stron WordPress CERT Polska zaleca systematyczne aktualizacje z użyciem wbudowanej automatycznej aktualizacji, uwierzytelnianie dwuskładnikowe (2FA) i ograniczanie uprawnień ^[6].

Historia i przykłady

• Poshspy — backdoor, którego autorzy umieścili polecenie PowerShell w repozytorium WMI i ustawili filtr WMI uruchamiający je cyklicznie ^[1].
• Kovter — tworzy w rejestrze obsługę losowego rozszerzenia pliku, która uruchamia skrypt przez legalne narzędzie mshta.exe ^[1].
• Amaranth-Dragon — opisana przez Sekurak w lutym 2026 roku kampania, w której malware Havoc był tzw. fileless: nie trafiał na dysk, tylko uruchamiał się w pamięci RAM ^[3].
• DesckVB RAT — kampania opisana w czerwcu 2026 roku, w której proces infekcji odbywał się w trybie bezplikowym ^[4].