Anders als klassische Angriffe, die auf externe Malware oder das Ausnutzen von Schwachstellen setzen, ermöglichen Living off the Land-Angriffe es Angreifer:innen, in legitimen Systemabläufen unterzutauchen. Dadurch sind ihre Aktivitäten deutlich schwerer zu erkennen.
Was ist ein Living off the Land-Angriff (LOTL)?
Der Begriff „Living off the Land“ beschreibt eine Angriffstechnik, bei der Angreifer:innen legitime Tools und Funktionen Ihres Betriebssystems nutzen, um schädliche Aktivitäten durchzuführen. Ein Living off the Land-Angriff nutzt vertrauenswürdige, vorinstallierte Systemdienstprogramme, um einer Erkennung zu entgehen und verschiedenste Aktionen auszuführen.
Cyberkriminelle setzen für einen LOTL-Angriff typischerweise Befehlszeilenprogramme, Skriptumgebungen und Administrations-Tools ein. Sie könnten beispielsweise PowerShell oder Windows Management Instrumentation (WMI) verwenden, um Befehle auszuführen, Informationen zu sammeln und sich seitlich in Ihrem Netzwerk zu bewegen.
Die wichtigsten Merkmale von LOTL-Angriffen
Living off the Land-Angriffe lassen sich nur schwer erkennen und abwehren. Zu ihren wichtigsten Merkmalen zählen:
Einsatz nativer Tools
Ein Living off the Land-Angriff stützt sich stark auf native Tools und Funktionen Ihres Betriebssystems. Angreifer:innen verwenden dieselben vertrauenswürdigen Dienstprogramme und Befehle, mit denen auch Systemadministrator:innen regelmäßig arbeiten. So können sie unauffällig Befehle ausführen, Daten sammeln und Ihr System manipulieren, ganz ohne fremden Code, der von Sicherheitssoftware markiert werden könnte.
Geringe Erkennbarkeit
Einer der schwierigsten Aspekte eines Living off the Land-Angriffs ist seine geringe Erkennbarkeit. Da sich die Aktivitäten der Angreifer:innen nahtlos in Ihre normalen Systemabläufe einfügen, bleiben sie über längere Zeiträume unentdeckt und können entsprechend größeren Schaden anrichten. Sicherheitssysteme, die auf signaturbasierte Erkennungsmethoden setzen oder nach bekannten Malware-Mustern suchen, greifen hier kaum.
Minimale Spuren
LOTL-Angriffe hinterlassen nur minimale Spuren auf Ihrem Zielsystem. Da Angreifer:innen keine neue Software installieren oder bestehende Systemdateien umfassend verändern müssen, vermeiden sie viele der Hinweise, die klassische Malware zurücklässt.
Diese minimalen Spuren erschweren die forensische Analyse und Untersuchungen nach einem Angriff. Angreifer:innen können ihre Aktionen ausführen und sämtliche Spuren schnell beseitigen, was es Ihnen deutlich schwerer macht, die Aktivitäten bis zur Quelle zurückzuverfolgen.
Beispiele für Living off the Land-Angriffe (LOTL)
Ein LOTL-Angriff kann viele Formen annehmen und dabei unterschiedliche Tools und Methoden nutzen. Hier einige bekannte Beispiele für Living off the Land-Angriffe (LOTL):
- PowerShell-Exploits: Angreifer:innen nutzen PowerShell-Skripte, um Befehle auszuführen, schädliche Payloads herunterzuladen und sich dauerhaft in Ihrem Netzwerk einzunisten. Die umfangreichen Funktionen von PowerShell und das ihm entgegengebrachte Vertrauen machen es zu einem bevorzugten Ziel für Living off the Land-Angriffe.
- Missbrauch von WMI: Mit WMI können Angreifer:innen Informationen sammeln, Code ausführen und sich seitlich in Ihrem Netzwerk bewegen. Die administrativen Funktionen von WMI werden ausgenutzt, um Aktionen durchzuführen, ohne sofort Alarmierungen auszulösen.
- Credential Dumping: Angreifer:innen nutzen Tools wie Mimikatz, um Anmeldeinformationen aus dem Arbeitsspeicher auszulesen. Indem sie den Local Security Authority Subsystem Service (LSASS) ausnutzen, gelangen sie an Passwörter und Hashes, um Berechtigungen auszuweiten und auf weitere Systeme zuzugreifen.
- Geplante Aufgaben: Durch das Erstellen oder Ändern geplanter Aufgaben können Angreifer:innen schädlichen Code zu festgelegten Zeiten oder in bestimmten Intervallen ausführen. Diese Methode hilft dabei, dauerhaft im System zu bleiben und schädliche Aktivitäten ohne direktes Eingreifen zu automatisieren.
- Living-off-the-Land-Binaries (LOLBins): Legitime ausführbare Dateien wie bitsadmin.exe, certutil.exe und wmic.exe werden genutzt, um Dateien herunterzuladen, Daten zu verschieben und Befehle auszuführen. Diese Binaries werden von Sicherheits-Tools oft übersehen, weil sie vertrauenswürdige Bestandteile Ihres Betriebssystems sind.
Die Auswirkungen von LOTL-Angriffen auf Unternehmen
Ein Living off the Land-Angriff kann erhebliche Folgen für Ihr Unternehmen haben, für Ihren Betrieb, Ihre Sicherheitslage und das Vertrauen in Ihre Systeme insgesamt. Um eine wirksame Verteidigungsstrategie zu entwickeln und Ihr Unternehmen widerstandsfähig gegen solch ausgeklügelte Bedrohungen zu machen, müssen Sie verstehen, wie sich diese Angriffe auswirken können.
Betriebsunterbrechungen
LOTL-Angriffe können den Betrieb erheblich stören. Angreifer:innen können native Tools nutzen, um kritische Dienste zu deaktivieren, Daten zu beschädigen oder wichtige Prozesse zu beeinträchtigen. Solche Störungen können Ihren Geschäftsbetrieb zum Erliegen bringen und zu finanziellen Verlusten sowie Reputationsschäden für Ihr Unternehmen führen.
Datenschutzverletzungen und Datendiebstahl
Eines der Hauptziele von LOTL-Angriffen ist der Zugriff auf sensible Daten und deren Exfiltration. Mithilfe vertrauenswürdiger Systemtools können sich Angreifer:innen seitlich durch Ihr Netzwerk bewegen und dabei Anmeldeinformationen und vertrauliche Informationen sammeln. Dazu können personenbezogene Daten, Finanzunterlagen, geistiges Eigentum und andere vertrauliche Werte gehören.
Erhöhte Sicherheitsrisiken
LOTL-Angriffe nutzen das Vertrauen und die Funktionalität legitimer Tools aus und sind deshalb mit herkömmlichen Sicherheitsmaßnahmen schwer zu erkennen. Dadurch steigen die Sicherheitsrisiken für Ihr Unternehmen insgesamt. Angreifer:innen können sich über längere Zeiträume in Ihrem Netzwerk halten, es ausspähen und weitere Angriffe vorbereiten.
Finanzielle Schäden und Reputationsverlust
Die finanziellen Folgen eines Living off the Land-Angriffs können gravierend sein. Ihrem Unternehmen können Kosten für Incident Response, Systemwiederherstellung, Anwaltshonorare und Bußgelder entstehen. Hinzu kommen langfristige finanzielle Effekte wie entgangene Geschäftschancen und ein sinkender Marktwert.
LOTL-Angriffe verhindern
Um LOTL-Angriffe zu verhindern, braucht es einen mehrstufigen Verteidigungsansatz: Überwachung nativer Tools, strenge Zugriffskontrollen sowie regelmäßige Updates und Patching Ihrer Systeme. Diese Maßnahmen senken das Risiko, dass Angreifer:innen legitime Systemfunktionen für ihre Zwecke missbrauchen.
Native Tools überwachen
Behalten Sie native Tools wie PowerShell, WMI und andere Befehlszeilenprogramme genau im Blick. Richten Sie Protokollierung und Alarmierungen ein, um ungewöhnliche oder unautorisierte Aktivitäten zu erkennen. Sie können beispielsweise Alarmierungen für bestimmte PowerShell-Befehle oder -Skripte konfigurieren, die häufig bei Angriffen zum Einsatz kommen. Wer diese Tools im Auge behält, erkennt verdächtiges Verhalten schnell und kann entsprechend reagieren.
Strenge Zugriffskontrollen einführen
Beschränken Sie den Zugriff auf administrative Tools und Funktionen auf die Benutzer:innen, die ihn wirklich benötigen. Wenden Sie das Prinzip der Minimalprivilegien an, damit Benutzer:innen und Prozesse nur die minimal nötigen Berechtigungen für ihre Aufgaben haben, und setzen Sie rollenbasierte Zugriffskontrolle (RBAC) ein, um diese Einschränkungen zu verwalten und durchzusetzen. Ziehen Sie zudem MFA (Multi-Factor Authentication) in Betracht, um den Zugriff auf Ihre kritischen Tools und Systeme zusätzlich abzusichern.
Systeme regelmäßig aktualisieren und patchen
Sorgen Sie dafür, dass alle Ihre Systeme und Ihre Software stets mit den neuesten Sicherheitspatches und Updates versorgt sind. Regelmäßiges Patching von Schwachstellen nach Best Practices verhindert, dass Angreifer:innen bekannte Schwachstellen in Ihrer Umgebung ausnutzen. Nutzen Sie automatisierte Tools, um Updates in Ihrem gesamten Netzwerk zu verwalten und bereitzustellen. Behalten Sie außerdem Sicherheitshinweise im Blick und passen Sie Ihre Schutzmaßnahmen an, um neuen und aufkommenden Bedrohungen zu begegnen.
Sie möchten verdeckte Bedrohungen aufspüren? Sehen Sie sich jetzt Living off the Land-Angriffe (LoTL): Alles, was Sie wissen müssen an.
Living off the Land-Angriffe mit NinjaOne begegnen
Um Ihr Unternehmen vor LOTL-Angriffen zu schützen, sollten Sie proaktive Sicherheitsmaßnahmen und eine mehrstufige Verteidigungsstrategie umsetzen. Die integrierten Tools von NinjaOne für die Endpunkt-Sicherheit sind ein hervorragender Ausgangspunkt, um LOTL-Angriffe zu verhindern. Erfahren Sie, wie NinjaOne Endpunkt-Sicherheit Ihre Sicherheitslage verbessern kann.
