Living off the Land (LotL) — підхід, за якого зловмисники використовують легітимні інструменти, що вже є в системі жертви, — PowerShell, WMI, утиліти віддаленого адміністрування — замість власного шкідливого ПЗ.
Як працюють LotL-атаки
У Windows, Linux і macOS є потужні вбудовані засоби адміністрування. Зловмисники використовують їх на кожному етапі вторгнення:
- виконання — PowerShell, cmd, wscript, mshta, rundll32;
- завантаження й декодування — certutil, bitsadmin, curl;
- розвідка й переміщення мережею — net, nltest, WMI, PsExec, RDP, SSH;
- крадіжка облікових даних — дамп пам’яті LSASS через вбудовану бібліотеку comsvcs.dll;
- закріплення — завдання планувальника, служби, підписки WMI.
Такі програми подвійного призначення називають LOLBins; відкриті проєкти LOLBAS і GTFOBins описують сотні з них. Зловмисники зловживають і легітимними комерційними інструментами на кшталт AnyDesk чи ScreenConnect.
Чому це важливо
LotL-активність виглядає як звичайна робота ІТ-адміністраторів і не залишає шкідливих файлів, які міг би знайти антивірус, тому вона тісно пов’язана з безфайловим шкідливим ПЗ. У 2023–2024 роках CISA та партнерські відомства попереджали, що китайське державне угруповання Volt Typhoon майже повністю покладалося на такі техніки, роками ховаючись у мережах критичної інфраструктури США. Той самий підхід використовують партнери вимагачів перед запуском шифрування, а для APT-угруповань він став стандартом.
Як захищатися
- Увімкнути детальне журналювання: створення процесів із командними рядками, блоки скриптів PowerShell, активність WMI.
- Визначити нормальну картину використання інструментів адміністрування й шукати відхилення — проактивний пошук загроз часто єдиний спосіб знайти LotL-вторгнення.
- Обмежити коло осіб, яким доступні інструменти адміністрування, використовувати контроль застосунків і режим Constrained Language у PowerShell.
- Застосовувати правила EDR, орієнтовані на підозрілі ланцюжки поведінки, а не на сигнатури файлів.
