Living off the Land (LotL) es un enfoque de ataque en el que los intrusos usan herramientas legítimas que ya existen en el sistema de la víctima —PowerShell, WMI, utilidades de administración remota— en lugar de su propio malware.
Cómo funcionan los ataques living off the land
Windows, Linux y macOS incluyen potentes herramientas de administración. Los atacantes abusan de ellas en cada fase de la intrusión:
- ejecución: PowerShell, cmd, wscript, mshta, rundll32;
- descarga y decodificación: certutil, bitsadmin, curl;
- descubrimiento y movimiento lateral: net, nltest, WMI, PsExec, RDP, SSH;
- robo de credenciales: volcado de la memoria de LSASS con la biblioteca integrada comsvcs.dll;
- persistencia: tareas programadas, servicios y suscripciones WMI.
Estos programas de doble uso se llaman LOLBins; los proyectos comunitarios LOLBAS y GTFOBins catalogan cientos de ellos. Los atacantes también abusan de herramientas comerciales legítimas como AnyDesk o ScreenConnect.
Por qué es importante
La actividad LotL parece administración de TI normal y no deja archivos maliciosos que pueda encontrar un antivirus, por lo que está muy ligada al malware sin archivos. En 2023 y 2024, CISA y agencias aliadas advirtieron de que el grupo estatal chino Volt Typhoon se apoyaba casi exclusivamente en estas técnicas para permanecer oculto durante años en redes de infraestructuras críticas de EE. UU. Los afiliados de ransomware hacen lo mismo antes de cifrar, y para los grupos APT es ya lo habitual.
Cómo defenderse
- Activar un registro detallado: creación de procesos con línea de comandos, bloques de script de PowerShell y actividad WMI.
- Establecer una línea base del uso normal de las herramientas de administración y buscar desviaciones; el threat hunting suele ser la única forma de encontrar intrusiones LotL.
- Restringir quién puede ejecutar herramientas de administración y usar control de aplicaciones y el modo de lenguaje restringido de PowerShell.
- Aplicar reglas de EDR centradas en cadenas de comportamiento sospechosas, no en firmas de archivos.
