Что такое Living off the Land / LOLBins?

ЧТО ЭТО?

Living off the Land (LOTL) — техника, при которой злоумышленник не загружает на систему собственное вредоносное ПО, а продолжает атаку с помощью уже установленных на компьютере жертвы легитимных инструментов. Такие инструменты называют LOLBins (Living-Off-the-Land Binaries) — подписанные, доверенные программы, которые идут в комплекте с операционной системой и предназначены для администрирования: PowerShell, certutil.exe, bitsadmin.exe, psexec.exe и другие (CyberDefenders).

Название техники — отсылка к выживанию «подножным кормом»: атакующий не приносит с собой ничего лишнего, а использует только то, что уже есть под рукой у жертвы.

КАК ЭТО РАБОТАЕТ?

Главное отличие от классического вредоносного ПО. Обычная малварь записывает на диск новый файл, что даёт антивирусу шанс поймать её по сигнатуре. При LOTL-атаке новый файл вообще не появляется — злоумышленник просто разворачивает против вас собственные программы системы (Bitdefender).

Проблема «одно и то же действие, разные намерения». Именно поэтому такую технику так сложно обнаружить: powershell.exe, выполняющий загрузку кода, делает ровно то, для чего он создан — разница не в процессе, а в намерении того, кто его запустил (CyberDefenders).

Связь с MITRE ATT&CK. Техники LOTL относятся в основном к тактикам Defense Evasion, Execution и Credential Access — например, T1059 (Command and Scripting Interpreter) описывает злоупотребление PowerShell (Bitdefender).

Связь с fileless malware. LOTL часто идёт рука об руку с fileless-атаками: полезная нагрузка выполняется прямо в памяти, а LOLBin выступает «транспортом», который её запускает.

ИЗВЕСТНЫЕ ПРИМЕНЕНИЯ

По мере того как EDR-решения научились ловить вредоносный код на диске и в памяти по поведению, атакующие массово перешли на LOTL именно для обхода этих технологий (StationX). Сегодня эта техника — базовый инструмент как у группировок программ-вымогателей, так и у государственных кибершпионских структур: вместо загрузки своих инструментов они с первого дня работают штатными средствами администрирования жертвы. Сообщество безопасности документирует такие бинарники в открытом проекте LOLBAS, который используется одновременно и атакующими, и защитниками (GitHub LOLBAS).

МИФЫ И РЕАЛЬНОСТЬ

Миф: LOTL-атаку поймает обычный антивирус. Реальность: Сигнатурный антивирус здесь бессилен, поскольку выполняемый файл — уже подписанный легитимный компонент системы; для обнаружения нужен поведенческий анализ и мониторинг связей между процессами.

Миф: LOLBins — проблема только Windows. Реальность: Концепция шире всего задокументирована для Windows (PowerShell, WMI), но аналогичный подход применяется и в Linux/macOS через штатные bash, curl, cron.

КАК ЗАЩИТИТЬСЯ И ИЗУЧАТЬ БЕЗОПАСНО

• Ограничивайте возможности выполнения PowerShell через Constrained Language Mode, AppLocker или WDAC.
• Настройте централизованное логирование (например, PowerShell Script Block Logging), чтобы threat hunting команда могла ретроспективно отследить злоупотребление LOLBin.
• Отслеживайте аномальные связи процессов «родитель-потомок» — это один из ключевых индикаторов LOTL.
• Изучайте технику только в изолированной лабораторной среде (Kali Linux + тестовая Windows VM), никогда не тестируйте на боевых системах без разрешения.

Полезные ссылки:

• LOLBAS Project — официальный список LOLBins: lolbas-project.github.io
• MITRE ATT&CK — T1059 Command and Scripting Interpreter: attack.mitre.org/techniques/T1059
• GTFOBins — аналог для Linux/Unix: gtfobins.github.io
• CyberDefenders — Living off the Land guide: cyberdefenders.org

Если вы хотите разобраться в подобных техниках практически, а не только по определениям — присоединяйтесь к курсу по кибербезопасности в JetSchool