Malware sin fichero (Fileless malware)
El malware sin fichero es actividad maliciosa que se ejecuta sin escribir ningún ejecutable en disco, operando desde memoria y desde herramientas que ya están en el sistema. No es tanto una categoría de malware como un conjunto de técnicas para evitar los artefactos que la detección tradicional basada en ficheros se construyó para encontrar.
En la práctica significa un payload entregado en la memoria de un proceso que ya está en marcha y goza de confianza, una ejecución conducida por binarios de living off the land que vienen con el sistema operativo, y la persistencia que se pueda conseguir sin fichero: una tarea programada con el comando en línea, un valor del registro que guarda un script codificado, o una suscripción a un evento del sistema que ejecuta un comando cuando se dispara.
El motivo por el que funciona contra los productos basados en firmas es directo. No hay fichero al que calcular un hash ni binario extraño que marcar, y el proceso que hace el trabajo es una herramienta administrativa legítima que además se ejecuta mil veces al día por buenos motivos. La detección tiene que mudarse, por tanto, al comportamiento: registro de bloques de script, argumentos de línea de comandos, las relaciones de padre e hijo entre procesos, y la telemetría que los sensores de endpoint recogen de memoria, que es exactamente el terreno que disputa la evasión de EDR.
Para quien defiende, la consecuencia operativa tiene que ver con la evidencia más que con la prevención. La actividad residente en memoria se pierde al reiniciar la máquina, así que una respuesta a incidentes que empieza reiniciando el equipo destruye la única copia de lo que pasó. Cuando ejercitamos una capacidad de detección, la pregunta que respondemos no es si la herramienta sabe ver una familia conocida, sino si el registro que permitiría reconstruir esto después está activado y se conserva, y eso es central en el trabajo de red team donde el oficio del operador se prueba contra una detección real.