Living off the Land (LotL) — подход, при котором атакующие используют легитимные инструменты, уже имеющиеся в системе жертвы, — PowerShell, WMI, утилиты удалённого администрирования — вместо собственного вредоносного ПО.
Как работают LotL-атаки
В Windows, Linux и macOS есть мощные встроенные средства администрирования. Злоумышленники используют их на каждом этапе вторжения:
- выполнение — PowerShell, cmd, wscript, mshta, rundll32;
- загрузка и декодирование — certutil, bitsadmin, curl;
- разведка и перемещение по сети — net, nltest, WMI, PsExec, RDP, SSH;
- кража учётных данных — дамп памяти LSASS через встроенную библиотеку comsvcs.dll;
- закрепление — задачи планировщика, службы, подписки WMI.
Такие программы двойного назначения называют LOLBins; открытые проекты LOLBAS и GTFOBins описывают сотни из них. Атакующие злоупотребляют и легитимными коммерческими инструментами вроде AnyDesk или ScreenConnect.
Почему это важно
LotL-активность выглядит как обычная работа ИТ-администраторов и не оставляет вредоносных файлов, которые мог бы найти антивирус, поэтому она тесно связана с бесфайловым вредоносным ПО. В 2023–2024 годах CISA и партнёрские ведомства предупреждали, что китайская государственная группировка Volt Typhoon почти полностью полагалась на такие техники, годами скрываясь в сетях критической инфраструктуры США. Тот же подход используют партнёры вымогателей перед запуском шифрования, а для APT-группировок он стал стандартом.
Как защищаться
- Включить подробное журналирование: создание процессов с командными строками, блоки скриптов PowerShell, активность WMI.
- Определить нормальную картину использования инструментов администрирования и искать отклонения — проактивный поиск угроз часто единственный способ найти LotL-вторжение.
- Ограничить круг лиц, которым доступны инструменты администрирования, использовать контроль приложений и режим Constrained Language в PowerShell.
- Применять правила EDR, ориентированные на подозрительные цепочки поведения, а не на сигнатуры файлов.
