从“见招拆招”到“无招胜有招”

　　在发生病毒感染事件之后，常见的安全修复策略常是删除特定位置里面的病毒文件，并使用防毒软件进行全盘查杀。但如今，出现了一种无文件载体的恶意软件，该软件摆脱了传统恶意软件的安装行为，使防毒软件的文件监测功能无法侦测到它们的存在。已经有迹象表明越来越多的病毒采用这种方式来躲避查杀。

　　如果将安全攻防当做一场“见招拆招”的剑术比赛，那么无文件恶意软件显然已经达到了“无招胜有招”的极高境界。与大多数恶意软件不同，无文件恶意软件并不会在目标电脑的硬盘中留下任何痕迹，而是针对传统防毒软件在扫描机制上的特点，直接将恶意代码写入内存或注册表中。这样一来文件扫描程序很难扫描或侦测到它们的存在。

　　比如Phasebot就是利用了Windows 7及更新版本所自带的Windows PowerShell工具，这本是正常的系统管理工具，但是Phasebot成功的利用该工具来执行它隐藏在Windows注册表内的组件，很容易让安全软件误以为这是一个正常的系统操作行为。

　　当无文件恶意软件感染电脑之后，会执行黑客的后续指令，如窃取用户信息、绑架用户电脑以执行拒绝服务攻击(DDoS)攻击、下载并执行其它恶意程序等。而且，黑客还试图在地下黑色市场销售这些攻击工具，这将导致更多的企业与个人用户处于安全风险之中。

　　随着互联网的快速发展，病毒也相应层出不穷，纽盾网安认为，“三分技术，七分管理”，企业需要的是一个强大的主动防御系统。企业应当跳出传统的侦测模式，采用新的安全防护手段。我们建议通过上网行为管理，实时监测篡改和恶意代码注入的迹象，实现有效地发掘隐秘的攻击行动，阻止恶意软件进入到企业网络。(文/魔都一枝花)(想了解更多请关注：www.newdon.net 微信/微博：纽盾网安)