In-memory execution is een techniek waarbij programmacode rechtstreeks vanuit het werkgeheugen wordt uitgevoerd, vaak zonder de uitvoerbare code eerst als regulier bestand op de schijf op te slaan.
Aanvallers gebruiken deze techniek om minder sporen op de schijf achter te laten en bestandsgerichte beveiliging te omzeilen. Dat maakt de activiteit lastiger te ontdekken, maar niet onzichtbaar. Uitvoering in het geheugen komt ook voor in legitieme software.
De code komt bijvoorbeeld binnen via een misbruikt script, een kwetsbare applicatie of een download. Een actief proces reserveert vervolgens een stuk werkgeheugen, plaatst de code daarin en geeft dat geheugengebied toestemming om de code uit te voeren. Soms wordt de code pas in het geheugen ontsleuteld. Daardoor hoeft de leesbare payload niet als uitvoerbaar bestand op de schijf te staan.
MITRE ATT&CK beschrijft dit als reflective code loading, techniek T1620. De versie van mei 2026 noemt Windows, macOS en Linux als relevante platformen. De code kan binnen een normaal ogend proces draaien, waardoor alleen controleren op verdachte bestandsnamen of programma’s onvoldoende is.
De techniek laat wel gedragssporen na. Denk aan ongebruikelijke geheugenrechten, een onverwachte procesketen, het starten van een nieuwe uitvoeringsstroom en netwerkverkeer naar een onbekende bestemming.
Stel dat een medewerker een overtuigende e-mailbijlage opent. Een misbruikt script start PowerShell en haalt versleutelde code op. Die code wordt in het werkgeheugen ontsleuteld en uitgevoerd zonder dat er een nieuw uitvoerbaar bestand verschijnt. Vervolgens maakt het proces verbinding met de infrastructuur van de aanvaller.
Een klassieke virusscanner kan het bestandsspoor missen. Gedragsgerichte beveiligingssoftware op laptops en servers kan de afwijkende combinatie van processen, geheugengebruik en netwerkverkeer wel signaleren. Tijdens een gecontroleerde Red Teaming-simulatie kan Surelock toetsen of zulke signalen worden gedetecteerd en tijdig worden opgevolgd.
Vragen? Bel gerust naar 0348 796 146
