Living off the Land (LotL) ist ein Angriffsansatz, bei dem Eindringlinge legitime, bereits vorhandene Werkzeuge des Zielsystems – etwa PowerShell, WMI oder Fernwartungsprogramme – statt eigener Malware verwenden.
Wie Living-off-the-Land-Angriffe funktionieren
Windows, Linux und macOS bringen mächtige Administrationswerkzeuge mit. Angreifer missbrauchen sie in jeder Phase eines Einbruchs:
- Ausführung – PowerShell, cmd, wscript, mshta, rundll32;
- Download und Dekodierung – certutil, bitsadmin, curl;
- Erkundung und laterale Bewegung – net, nltest, WMI, PsExec, RDP, SSH;
- Diebstahl von Zugangsdaten – Auslesen des LSASS-Speichers mit der eingebauten comsvcs.dll;
- Persistenz – geplante Tasks, Dienste und WMI-Abonnements.
Solche Dual-Use-Programme heißen LOLBins (Living-off-the-Land-Binaries); die Community-Projekte LOLBAS und GTFOBins katalogisieren Hunderte davon. Angreifer missbrauchen auch legitime kommerzielle Tools wie AnyDesk oder ScreenConnect.
Warum das wichtig ist
LotL-Aktivität sieht aus wie normale IT-Administration und hinterlässt keine bösartigen Dateien, die ein Antivirenprogramm finden könnte – damit ist sie eng mit dateiloser Malware verwandt. 2023 und 2024 warnten CISA und Partnerbehörden, dass die chinesische staatliche Gruppe Volt Typhoon fast ausschließlich solche Techniken nutzte, um sich jahrelang in Netzen kritischer US-Infrastruktur zu verbergen. Ransomware-Affiliates gehen vor der Verschlüsselung ebenso vor, und für APT-Gruppen ist LotL heute Standard.
Schutzmaßnahmen
- Detailliertes Logging aktivieren: Prozessstarts mit Kommandozeilen, PowerShell-Skriptblöcke, WMI-Aktivität.
- Eine Baseline der normalen Nutzung von Admin-Werkzeugen erstellen und nach Abweichungen suchen – Threat Hunting ist oft der einzige Weg, LotL-Einbrüche zu finden.
- Einschränken, wer Admin-Werkzeuge ausführen darf; Application Control und den PowerShell Constrained Language Mode nutzen.
- EDR-Regeln einsetzen, die auf verdächtige Verhaltensketten statt auf Dateisignaturen zielen.
