Living off the Land / LOLBins nədir?

BU NƏDİR?

Living off the Land (LOTL) — hücumçunun sistemə öz zərərli proqramını yükləmək əvəzinə, qurbanın kompüterində artıq mövcud olan qanuni alətlərdən istifadə edərək hücumu davam etdirdiyi texnikadır. Bu cür alətlərə LOLBins (Living-Off-the-Land Binaries) deyilir — əməliyyat sistemi ilə birlikdə gələn, administrasiya üçün nəzərdə tutulmuş imzalanmış proqramlar: PowerShell, certutil.exe, bitsadmin.exe, psexec.exe və başqaları (CyberDefenders).

Texnikanın adı "yerdən qidalanmaq" — ətraf mühitin resurslarından sağ qalmaq metaforasından gəlir: hücumçu özü ilə heç nə "gətirmir", yalnız artıq orada olandan istifadə edir.

NECƏ İŞLƏYİR?

Klassik zərərli proqramla əsas fərq. Adi zərərli proqram diskə yeni fayl yazır, bu da antivirusa onu imza əsasında tutmaq şansı verir. LOTL hücumunda isə heç bir yeni fayl yaranmır — hücumçu sadəcə sistemin öz proqramlarını sizə qarşı işlədir (Bitdefender).

"Eyni hərəkət, fərqli niyyət" problemi. Məhz buna görə bu texnikanı aşkarlamaq çətindir: kod yükləyən powershell.exe elə onun üçün yaradıldığı işi görür — fərq prosesdə deyil, onu işə salanın niyyətindədir (CyberDefenders).

MITRE ATT&CK ilə əlaqə. LOTL texnikaları əsasən Defense Evasion, Execution və Credential Access taktikalarına aiddir — məsələn, T1059 (Command and Scripting Interpreter) PowerShell-in sui-istifadəsini əhatə edir (Bitdefender).

Fileless malware ilə əlaqə. LOTL tez-tez fileless hücumlarla birgə görülür: yük birbaşa yaddaşda icra olunur, LOLBin isə onu işə salan "daşıyıcı" rolunu oynayır.

MƏŞHUR TƏTBİQ HALLARI

EDR həlləri diskdə və yaddaşda davranışa görə zərərli kodu tutmağı öyrəndikcə, hücumçular məhz bu texnologiyalardan yayınmaq üçün kütləvi şəkildə LOTL-a keçiblər (StationX). Bu gün bu texnika fidyə proqramı qruplarından tutmuş dövlət dəstəkli casusluq strukturlarına qədər əsas alətdir: öz alətlərini yükləmək əvəzinə, ilk gündən qurbanın öz administrasiya vasitələri ilə işləyirlər. Təhlükəsizlik icması bu cür binar faylları sənədləşdirmək üçün açıq mənbəli LOLBAS layihəsini yaradıb — bu, həm hücum, həm də müdafiə tərəfi üçün istinad mənbəyidir (GitHub LOLBAS).

MİFLƏR VƏ REALLIQ

Mif: LOTL hücumunu adi antivirus tuta bilər. Reallıq: İmza əsaslı antivirus burada işləmir, çünki icra olunan fayl artıq sistemin özünün imzalanmış, qanuni komponentidir — aşkarlama üçün davranış təhlili və proseslər arası əlaqələrin monitorinqi lazımdır.

Mif: LOLBins yalnız Windows-a aid problemdir. Reallıq: Konsept ən çox Windows üçün sənədləşdirilsə də (PowerShell, WMI), oxşar yanaşma Linux/macOS-da da bash, curl, cron kimi qanuni sistem alətləri üzərindən tətbiq olunur.

NECƏ QORUNMAQ VƏ TƏHLÜKƏSİZ ÖYRƏNMƏK

• PowerShell-in icra imkanlarını Constrained Language Mode, AppLocker və ya WDAC vasitəsilə məhdudlaşdırın.
• Mərkəzləşdirilmiş loglama (məsələn, PowerShell Script Block Logging) qurun ki, threat hunting komandası LOLBin sui-istifadəsini geriyə doğru izləyə bilsin.
• Proseslər arasında "ata-bala" əlaqələrindəki anomaliyaları izləyin — bu, LOTL-un əsas indikatorlarından biridir.
• Texnikanı yalnız izolyasiya edilmiş laboratoriya mühitində (Kali Linux + test Windows VM) öyrənin, icazəsiz real sistemlərdə sınamayın.

Faydalı linklər:

• LOLBAS Project — rəsmi LOLBins siyahısı: lolbas-project.github.io
• MITRE ATT&CK — T1059 Command and Scripting Interpreter: attack.mitre.org/techniques/T1059
• GTFOBins — Linux/Unix analoqu: gtfobins.github.io
• CyberDefenders — Living off the Land guide: cyberdefenders.org

Bu cür texnikaları sadəcə tərif səviyyəsində deyil, praktiki şəkildə öyrənmək istəyirsinizsə — JetSchool-da kibertəhlükəsizlik kursuna qoşulun.