A diferencia de los ataques tradicionales, que dependen de malware externo o de explotar vulnerabilidades, los ataques living off the land permiten a los actores maliciosos camuflarse entre las operaciones legítimas del sistema, lo que dificulta mucho detectar su actividad.
¿Qué es un ataque living off the land (LOTL)?
El término «living off the land» («vivir de la tierra») describe una técnica de intrusión en la que los atacantes utilizan herramientas y funciones legítimas de tu sistema operativo para llevar a cabo actividades maliciosas. Un ataque living off the land se apoya en utilidades del sistema preinstaladas y de confianza para evitar ser detectado y ejecutar todo tipo de acciones.
Los ciberdelincuentes suelen recurrir a utilidades de línea de comandos, entornos de scripting y herramientas administrativas para lanzar un ataque LOTL. Por ejemplo, pueden usar PowerShell o Windows Management Instrumentation (WMI) para ejecutar comandos, recopilar información y moverse lateralmente por tu red.
Características principales de los ataques LOTL
Los ataques living off the land son difíciles de detectar y de frenar. Entre sus características principales destacan las siguientes:
Uso de herramientas nativas
Un ataque living off the land se apoya en gran medida en las herramientas y funciones nativas de tu sistema operativo. Los atacantes utilizan las mismas utilidades y comandos de confianza que emplean a diario los administradores de sistemas, lo que les permite pasar desapercibidos, ejecutar comandos, recopilar datos y manipular tu sistema sin introducir código ajeno que el software de seguridad pudiera marcar como sospechoso.
Baja detectabilidad
Uno de los aspectos más problemáticos de un ataque living off the land es su baja detectabilidad. Como la actividad del atacante se integra a la perfección con las operaciones normales de tu sistema, pasa inadvertida durante más tiempo y el daño potencial aumenta. Además, los sistemas de seguridad que se basan en detección por firmas o en la búsqueda de patrones de malware conocidos pierden eficacia.
Huella mínima
Los ataques LOTL dejan una huella mínima en el sistema atacado. Como los atacantes no necesitan instalar software nuevo ni modificar en profundidad los archivos existentes del sistema, pueden evitar muchos de los rastros que deja el malware tradicional.
Esa huella mínima complica el análisis forense y las investigaciones posteriores al ataque. Los atacantes pueden ejecutar sus operaciones y eliminar cualquier rastro rápidamente, lo que dificulta tu capacidad de rastrear su actividad hasta el origen.
Ejemplos de ataques living off the land (LOTL)
Un ataque LOTL puede adoptar muchas formas y aprovechar herramientas y métodos muy distintos. Estos son algunos ejemplos destacados de ataques living off the land (LOTL):
- Explotación de PowerShell: los atacantes usan scripts de PowerShell para ejecutar comandos, descargar cargas maliciosas y establecer persistencia en tu red. Las amplias capacidades de PowerShell y la confianza que tiene por defecto lo convierten en un objetivo ideal para un ataque living off the land.
- Abuso de WMI: con WMI, los atacantes pueden recopilar información, ejecutar código y moverse lateralmente por tu red. Sus funciones administrativas se aprovechan para realizar acciones sin levantar sospechas inmediatas.
- Volcado de credenciales: los atacantes emplean herramientas como Mimikatz para extraer credenciales de la memoria. Al explotar el servicio Local Security Authority Subsystem Service (LSASS), consiguen contraseñas y hashes con los que escalar privilegios y acceder a otros sistemas.
- Tareas programadas: crear o modificar tareas programadas permite a los atacantes ejecutar código malicioso a horas o intervalos concretos. Este método les ayuda a mantener la persistencia y a automatizar actividades maliciosas sin intervenir directamente.
- Binarios living off the land (LOLBins): ejecutables legítimos como bitsadmin.exe, certutil.exe y wmic.exe se utilizan para descargar archivos, mover datos y ejecutar comandos. Las herramientas de seguridad suelen pasar por alto estos binarios porque son componentes de confianza de tu sistema operativo.
Consecuencias de los ataques LOTL para las organizaciones
Un ataque living off the land puede tener un impacto considerable en tu organización: afecta a tus operaciones, a tu postura de seguridad y a la confianza general en tus sistemas. Para diseñar una estrategia de defensa eficaz y garantizar la resiliencia de la organización frente a amenazas tan sofisticadas, necesitas entender cómo pueden afectarte estos ataques.
Interrupción de las operaciones
Los ataques LOTL pueden provocar interrupciones operativas importantes. Los atacantes pueden usar herramientas nativas para desactivar servicios críticos, corromper datos o interferir en procesos esenciales. Esas interrupciones pueden paralizar tu actividad empresarial y derivar en pérdidas económicas y en un daño a la reputación de tu organización.
Filtraciones y robo de datos
Uno de los objetivos principales de los ataques LOTL es acceder a datos sensibles y exfiltrarlos. Al usar herramientas del sistema de confianza, los atacantes pueden moverse lateralmente por tu red y recopilar credenciales e información confidencial. Esos datos pueden incluir información personal, registros financieros, propiedad intelectual y otros activos confidenciales.
Mayores riesgos de seguridad
Los ataques LOTL explotan la confianza y la funcionalidad propias de herramientas legítimas, por lo que resultan difíciles de detectar con tus medidas de seguridad tradicionales. Esto eleva el nivel de riesgo general al que se enfrenta tu organización. Los atacantes pueden mantener la persistencia en tu red durante largos periodos, vigilar tu entorno y planificar nuevos ataques.
Daño económico y reputacional
El impacto económico de un ataque living off the land puede ser enorme. Tu organización puede asumir costes de respuesta a incidentes, restauración de sistemas, gastos legales y sanciones regulatorias. Además, los efectos financieros a largo plazo pueden incluir la pérdida de oportunidades de negocio y una menor valoración de mercado.
Cómo prevenir los ataques LOTL
Prevenir los ataques LOTL exige un enfoque de defensa en profundidad que incluya la supervisión de las herramientas nativas, controles de acceso estrictos y la actualización y aplicación periódica de parches en tus sistemas. Estas medidas ayudan a reducir el riesgo de que los atacantes aprovechen funciones legítimas del sistema con fines maliciosos.
Supervisa las herramientas nativas
Vigila de cerca herramientas nativas como PowerShell, WMI y otras utilidades de línea de comandos. Configura mecanismos de registro y de alertas para detectar actividad inusual o no autorizada. Por ejemplo, puedes crear alertas para determinados comandos o scripts de PowerShell que se usan habitualmente en los ataques. Si no pierdes de vista estas herramientas, podrás identificar y responder rápidamente a comportamientos sospechosos.
Aplica controles de acceso estrictos
Limita el acceso a herramientas y funciones administrativas únicamente a los usuarios que realmente lo necesiten. Aplica el principio del mínimo privilegio para que usuarios y procesos tengan solo los permisos mínimos imprescindibles para hacer su trabajo, e implanta un control de acceso basado en roles (RBAC) para gestionar y hacer cumplir esas restricciones. Valora también usar la autenticación multifactor (MFA) para añadir una capa de seguridad adicional al acceso a tus herramientas y sistemas críticos.
Actualiza y parchea tus sistemas con regularidad
Asegúrate de que todos tus sistemas y aplicaciones están al día con los últimos parches y actualizaciones de seguridad. Parchear las vulnerabilidades siguiendo las mejores prácticas de forma periódica evita que los atacantes aprovechen debilidades conocidas de tu entorno. Utiliza herramientas automatizadas para gestionar y desplegar las actualizaciones en toda tu red. Además, sigue los avisos de seguridad y ajusta tus defensas para hacer frente a las amenazas nuevas y emergentes.
¿Quieres detectar amenazas sigilosas? Mira ahora Ataques living off the land (LOTL): todo lo que necesitas saber.
Hazle frente a los ataques living off the land con NinjaOne
Para proteger tu organización frente a los ataques LOTL, asegúrate de aplicar medidas de seguridad proactivas y una estrategia de defensa en profundidad. Las herramientas de seguridad de endpoints integradas en NinjaOne son un excelente punto de partida para prevenir los ataques LOTL. Descubre cómo la seguridad de endpoints de NinjaOne puede mejorar tu postura de seguridad.
