Fileless Malware ist Schadsoftware, die keine eigene Datei auf der Festplatte ablegt, sondern direkt im Arbeitsspeicher läuft. Der Name bedeutet wörtlich „dateilos“ — klassische Antiviren-Programme, die nach verdächtigen Dateien suchen, haben dadurch nichts zu scannen.
Wie funktioniert ein Angriff ohne Datei?
Statt eigenen Schadcode zu installieren, missbraucht Fileless Malware vertrauenswürdige Systemwerkzeuge des Betriebssystems. Diese Strategie heißt Living off the Land (von dem leben, was da ist). Häufige Werkzeuge sind:
- PowerShell: Skripte werden direkt aus dem Speicher ausgeführt oder per Download nachgeladen
- WMI (Windows Management Instrumentation): bösartige Befehle im WMI-Repository, ausgelöst durch Ereignis-Abonnements
- Windows-Registrierung: Code in Registry-Einträgen, die bei jedem Start ausgeführt werden
- Makros in Office-Dokumenten und andere Skriptsprachen
Der Schadcode kann als RAT zur Fernsteuerung dienen, Daten sammeln wie Spyware oder weitere Schadsoftware nachladen. Viele Angreifer kombinieren dateilose Techniken mit legitimen Administrations-Tools, um wie normale Systemaktivität auszusehen.
Warum ist Fileless Malware gefährlich?
Weil keine Datei auf der Platte landet, bleiben klassische signaturbasierte Scanner blind. Zudem verschwinden die Spuren mit einem Neustart aus dem flüchtigen Speicher — die Analyse ist deutlich aufwendiger. Verstecken können sich die Angriffe außerdem hinter Rootkits, die Prozesse und Verbindungen tarnen. Bekanntes Beispiel ist der Astaroth-Angriff, der WMI-Ereignisse für seine mehrstufige Infektionskette nutzte.
Erkennung und Abwehr
Da kein Dateiscanner hilft, sind verhaltensbasierte Ansätze entscheidend: EDR-Systeme überwachen Prozesse, Skript-Ausführungen und Speicherzugriffe; PowerShell-Protokollierung und AMSI (Antimalware Scan Interface) machen bösartige Skripte sichtbar. In der digitalen Forensik hilft die Memory-Forensik, dateilose Angriffe im RAM nachzuweisen — etwa mit Volatility oder YARA-Regeln. Auch die Analyse in einer Sandbox und aktives Threat Hunting decken dateilose Angriffe auf.
Verwandte Grundlagen: Malware, Cryptojacking.