LOTL: Living off the Land einfach erklärt

LOTL steht für Living off the Land. Der Begriff bezeichnet Angriffstechniken, bei denen Cyberkriminelle legitime Systemprogramme, Verwaltungswerkzeuge, Skriptsprachen oder Netzwerkdienste für schädliche Zwecke missbrauchen.

Anstatt ausschließlich eigene Angriffswerkzeuge zu installieren, verwenden sie Funktionen, die auf dem Zielsystem bereits vorhanden sind oder im normalen IT-Betrieb vertrauenswürdig erscheinen. Dadurch können LOTL-Aktivitäten schwerer von legitimer Administration zu unterscheiden sein.

Was bedeutet Living off the Land?

Bei einem LOTL-Angriff nutzen Angreifer reguläre Werkzeuge außerhalb ihres vorgesehenen Einsatzzwecks.

Mit ihnen können sie beispielsweise:

• Informationen über Systeme und Netzwerke sammeln
• Befehle oder Skripte ausführen
• Dateien übertragen
• Zugangsdaten auslesen
• weitere Systeme erreichen
• Schutzmechanismen verändern
• dauerhafte Zugänge einrichten
• Daten sammeln und übertragen

Living off the Land bedeutet nicht zwingend, dass ausschließlich vorinstallierte Programme verwendet werden. Auch legitime Administrationswerkzeuge, die bereits vorhanden oder nachträglich eingebracht wurden, können Teil eines solchen Angriffs sein.

Was sind LOLBins?

Legitime ausführbare Programme, die für Angriffe missbraucht werden, werden häufig als LOLBins bezeichnet. Die Abkürzung steht für Living-off-the-Land Binaries.

Daneben existieren Begriffe wie:

• LOLScripts: legitime Skripte oder Skriptsprachen
• LOLLibraries: vertrauenswürdige Programmbibliotheken
• LOLDrivers: legitime, aber missbrauchbare Hardwaretreiber

Diese Komponenten sind nicht grundsätzlich schädlich. Erst der Verwendungszweck und der technische Zusammenhang machen ihre Nutzung verdächtig.

Typische Beispiele für LOTL-Werkzeuge

PowerShell

PowerShell ist eine leistungsfähige Verwaltungs- und Automatisierungsumgebung. Angreifer können sie unter anderem für Systemabfragen, Skriptausführung, Downloads und die Steuerung weiterer Angriffsschritte verwenden.

WMI

Die Windows Management Instrumentation, kurz WMI, ermöglicht die Verwaltung und Abfrage von Windows-Systemen.

Sie kann missbraucht werden, um Prozesse lokal oder aus der Ferne zu starten, Systeme auszuspähen oder bestimmte dauerhafte Ausführungsmechanismen einzurichten.

Rundll32 und MSHTA

Programme wie rundll32.exe oder mshta.exe sind legitime Windows-Komponenten. Unter bestimmten Bedingungen lassen sie sich jedoch zur Ausführung fremder oder unerwünschter Inhalte verwenden.

CertUtil

CertUtil dient eigentlich der Verwaltung von Zertifikaten. Bestimmte Funktionen können jedoch auch zum Übertragen, Dekodieren oder Verarbeiten von Dateien missbraucht werden.

PsExec

PsExec ist ein legitimes Administrationswerkzeug aus der Microsoft-Sysinternals-Sammlung. Wenn es in einer Umgebung vorhanden ist, kann es zur entfernten Ausführung von Befehlen verwendet werden.

RDP und SMB

Remote Desktop und SMB sind legitime Netzwerkdienste. Angreifer können sie mit gestohlenen Zugangsdaten zur Bewegung zwischen Systemen verwenden.

Die Dienste selbst sind keine klassischen LOLBins, können aber Bestandteil einer Living-off-the-Land-Strategie sein.

Warum sind LOTL-Angriffe schwer zu erkennen?

Viele der verwendeten Programme werden auch von Administratoren, Supportmitarbeitern und automatisierten IT-Prozessen eingesetzt.

Ein einfaches Blockieren ist daher häufig nicht möglich, ohne den regulären Betrieb zu beeinträchtigen.

Zusätzliche Herausforderungen sind:

• Programme sind häufig digital signiert.
• Dateinamen und Speicherorte wirken vertrauenswürdig.
• Aktivitäten können wie normale Administration aussehen.
• Es muss nicht zwingend eine unbekannte Schadsoftware gespeichert werden.
• Verschiedene legitime Werkzeuge können zu einer Angriffskette kombiniert werden.

Signaturbasierte Virenscanner erkennen solche Aktivitäten deshalb nicht immer zuverlässig. Moderne Endpoint-Sicherheitslösungen können sie jedoch anhand von Verhalten, Prozessketten und ungewöhnlichen Kombinationen erkennen.

Ist LOTL dasselbe wie ein dateiloser Angriff?

Nein. Beide Begriffe überschneiden sich, sind aber nicht identisch.

Ein dateiloser Angriff versucht, möglichst wenige dauerhafte Dateien auf einem System zu hinterlassen und führt Code beispielsweise direkt im Arbeitsspeicher aus.

Ein LOTL-Angriff verwendet legitime Werkzeuge. Dabei können trotzdem Dateien, Skripte, geplante Aufgaben oder andere dauerhafte Veränderungen entstehen.

Auch eigene Malware kann mit LOTL-Techniken kombiniert werden.

Wie können Unternehmen LOTL-Angriffe erkennen?

Da die verwendeten Werkzeuge nicht grundsätzlich schädlich sind, muss vor allem ihr Verhalten untersucht werden.

Mögliche Hinweise sind:

• PowerShell-Aufrufe mit verschleierten Befehlen
• ungewöhnliche Prozessketten
• Office-Anwendungen, die Kommandozeilenprogramme starten
• WMI-Aktivitäten von untypischen Benutzerkonten
• Systemprogramme mit ausgehenden Internetverbindungen
• häufige Remote-Anmeldungen zwischen Arbeitsplatzsystemen
• Ausführung administrativer Werkzeuge außerhalb üblicher Zeiten
• Programme in ungewöhnlichen Verzeichnissen
• deaktivierte Protokollierung oder Sicherheitsfunktionen

Ein einzelnes Ereignis ist dabei nicht immer ein Beweis für einen Angriff. Erst der Kontext ermöglicht eine verlässliche Bewertung.

Schutzmaßnahmen gegen Living off the Land

Berechtigungen begrenzen

Benutzer und Dienste sollten nur die Rechte besitzen, die sie tatsächlich benötigen. Administrative Konten sollten getrennt und besonders geschützt werden.

Multi-Faktor-Authentifizierung einsetzen

MFA erschwert den Missbrauch gestohlener Zugangsdaten, insbesondere bei Remote-Zugängen und administrativen Konten.

Anwendungskontrolle verwenden

Werkzeuge wie Windows Defender Application Control oder AppLocker können festlegen, welche Programme und Skripte ausgeführt werden dürfen.

Da viele LOTL-Werkzeuge legitim sind, müssen die Regeln allerdings genauer sein als eine einfache Freigabe signierter Programme.

Protokollierung verbessern

Wichtige Datenquellen sind unter anderem:

• PowerShell-Protokolle
• Befehlszeilenparameter
• Prozessstarts
• WMI-Aktivitäten
• Benutzeranmeldungen
• Netzwerkverbindungen
• Änderungen an Diensten und geplanten Aufgaben

Die Protokolle sollten zentral gesammelt, ausgewertet und vor Manipulation geschützt werden.

EDR oder XDR einsetzen

Verhaltensbasierte Sicherheitslösungen können ungewöhnliche Abläufe erkennen, auch wenn die beteiligten Programme selbst legitim sind.

Administration absichern

Administrative Werkzeuge sollten nur von vorgesehenen Geräten, Konten und Netzwerkbereichen verwendet werden dürfen.

Netzwerk segmentieren

Eine Segmentierung begrenzt die Möglichkeiten zur seitlichen Bewegung, nachdem ein einzelnes System kompromittiert wurde.

Fazit

Living off the Land bezeichnet den Missbrauch legitimer System- und Verwaltungswerkzeuge für Cyberangriffe. Da dieselben Programme auch im normalen IT-Betrieb verwendet werden, sind LOTL-Aktivitäten schwieriger zu erkennen als eindeutig schädliche Software.

Ein wirksamer Schutz erfordert deshalb verhaltensbasierte Erkennung, zentrale Protokollierung, minimale Berechtigungen, abgesicherte Administrationswege und eine sorgfältige Analyse ungewöhnlicher Prozess- und Netzwerkaktivitäten.