استخدام برمجيات مكافحة البرمجيات الخبيثة القائمة على السلوك

تتجاوز البرمجيات الخبيثة الجديدة التي لا توجد لها توقيعات مكافحة البرمجيات الخبيثة التقليدية القائمة على التوقيعات تماماً، وبدون كشف قائم على السلوك يُنفذ النشاط الخبيث (تشفير الملفات والوصول إلى بيانات الاعتماد والتنقل الأفقي) بلا تحدٍ.

تتهرب البرمجيات الخبيثة التي تغير توقيع أكوادها مع كل تنفيذ من محركات الكشف القائمة على التوقيعات، مما يتطلب تحليلاً سلوكياً لتحديد الإجراءات الخبيثة (حقن العمليات وآليات الاستمرار واتصالات القيادة والتحكم) بدلاً من خصائص الملف الثابتة.

يستخدم المهاجمون أدوات وعمليات نظام التشغيل الشرعية (PowerShell وWMI وcertutil وmshta) لتنفيذ إجراءات خبيثة لا تستطيع الحلول القائمة على التوقيعات كشفها لأن الأدوات نفسها شرعية، مما يتطلب تحليلاً سلوكياً لتحديد الإساءة.