Anders dan traditionele aanvallen die afhankelijk zijn van externe malware of het misbruiken van kwetsbaarheden, stellen living off the land-aanvallen kwaadwillenden in staat om op te gaan in legitieme systeemactiviteiten, waardoor hun handelingen lastiger te detecteren zijn.
Wat is een living off the land-aanval (LOTL)?
De term “living off the land” beschrijft een inbraaktechniek waarbij aanvallers legitieme tools en functies van uw besturingssysteem gebruiken om kwaadaardige activiteiten uit te voeren. Een living off the land-aanval maakt gebruik van vertrouwde, vooraf geïnstalleerde systeemhulpprogramma’s om detectie te omzeilen en uiteenlopende handelingen uit te voeren.
Cybercriminelen zetten voor een LOTL-aanval doorgaans opdrachtregelprogramma’s, scriptomgevingen en beheertools in. Zo kunnen ze bijvoorbeeld PowerShell of Windows Management Instrumentation (WMI) gebruiken om opdrachten uit te voeren, informatie te verzamelen en zich lateraal door uw netwerk te bewegen.
Belangrijkste kenmerken van LOTL-aanvallen
Living off the land-aanvallen zijn lastig te detecteren en af te weren. Enkele belangrijke kenmerken zijn:
Gebruik van ingebouwde tools
Een living off the land-aanval leunt sterk op ingebouwde tools en functies van uw besturingssysteem. Aanvallers gebruiken dezelfde vertrouwde hulpprogramma’s en opdrachten die systeembeheerders dagelijks gebruiken. Zo kunnen ze opgaan in de massa, opdrachten uitvoeren, gegevens verzamelen en uw systeem manipuleren – zonder vreemde code te introduceren die door beveiligingssoftware zou worden opgemerkt.
Nauwelijks te detecteren
Een van de lastigste aspecten van een living off the land-aanval is dat hij nauwelijks te detecteren is. Omdat de activiteiten van de aanvaller naadloos opgaan in uw normale systeemactiviteiten, blijven ze langer onopgemerkt en neemt de potentiële schade toe. Beveiligingssystemen die werken met signature-gebaseerde detectie of zoeken naar bekende malwarepatronen zijn daar minder effectief tegen.
Minimale sporen
LOTL-aanvallen laten nauwelijks sporen achter op uw doelsysteem. Omdat aanvallers geen nieuwe software hoeven te installeren of bestaande systeembestanden ingrijpend hoeven aan te passen, vermijden ze veel van de sporen die traditionele malware achterlaat.
Dat maakt forensisch onderzoek en analyse na een aanval moeilijker. Aanvallers kunnen hun operatie uitvoeren en sporen snel wissen, waardoor het lastig wordt om hun activiteiten terug te leiden naar de bron.
Voorbeelden van living off the land-aanvallen (LOTL)
Een LOTL-aanval kan verschillende vormen aannemen en uiteenlopende tools en methoden inzetten. Hieronder staan enkele opvallende voorbeelden van living off the land-aanvallen (LOTL):
- PowerShell-exploits: Aanvallers gebruiken PowerShell-scripts om opdrachten uit te voeren, kwaadaardige payloads te downloaden en zich permanent in uw netwerk te nestelen. De uitgebreide mogelijkheden van PowerShell en het ingebouwde vertrouwen maken het een geliefd doelwit voor een living off the land-aanval.
- Misbruik van WMI: Met WMI kunnen aanvallers informatie verzamelen, code uitvoeren en zich lateraal door uw netwerk bewegen. De beheerfuncties van WMI worden misbruikt om acties uit te voeren zonder direct alarm te slaan.
- Credential dumping: Aanvallers gebruiken tools als Mimikatz om referenties uit het geheugen te halen. Door de Local Security Authority Subsystem Service (LSASS) te misbruiken, bemachtigen ze wachtwoorden en hashes waarmee ze hun rechten verhogen en toegang krijgen tot andere systemen.
- Geplande taken: Door geplande taken aan te maken of aan te passen, kunnen aanvallers kwaadaardige code op specifieke tijdstippen of intervallen uitvoeren. Zo behouden ze hun aanwezigheid en automatiseren ze kwaadaardige activiteiten zonder direct in te hoeven grijpen.
- Living-off-the-land binaries (LOLBins): Legitieme uitvoerbare bestanden zoals bitsadmin.exe, certutil.exe en wmic.exe worden gebruikt om bestanden te downloaden, gegevens te verplaatsen en opdrachten uit te voeren. Beveiligingstools kijken vaak langs deze binaries heen omdat het vertrouwde onderdelen van uw besturingssysteem zijn.
De impact van LOTL-aanvallen op organisaties
Een living off the land-aanval kan grote gevolgen hebben voor uw organisatie: voor uw bedrijfsvoering, uw beveiligingsbeleid en het vertrouwen in uw systemen. Om een effectieve verdedigingsstrategie op te zetten en uw organisatie weerbaar te maken tegen dit soort geavanceerde dreigingen, moet u begrijpen welke impact deze aanvallen kunnen hebben.
Verstoring van de bedrijfsvoering
LOTL-aanvallen kunnen de bedrijfsvoering flink verstoren. Aanvallers kunnen met ingebouwde tools kritieke services uitschakelen, gegevens beschadigen of essentiële processen verstoren. Die verstoringen kunnen uw bedrijfsactiviteiten stilleggen, met financiële schade en reputatieschade tot gevolg.
Datalekken en diefstal
Een van de belangrijkste doelen van LOTL-aanvallen is toegang krijgen tot gevoelige gegevens en die buitmaken. Met vertrouwde systeemtools bewegen aanvallers zich lateraal door uw netwerk en verzamelen ze referenties en gevoelige informatie. Denk aan persoonsgegevens, financiële administratie, intellectueel eigendom en andere vertrouwelijke bedrijfsmiddelen.
Grotere beveiligingsrisico’s
LOTL-aanvallen misbruiken het vertrouwen in en de functionaliteit van legitieme tools, waardoor ze met traditionele beveiligingsmaatregelen moeilijk te detecteren zijn. Daarmee nemen de beveiligingsrisico’s voor uw organisatie toe. Aanvallers kunnen zich langdurig in uw netwerk nestelen, uw omgeving observeren en vervolgaanvallen voorbereiden.
Financiële schade en reputatieschade
De financiële impact van een living off the land-aanval kan enorm zijn. Uw organisatie kan kosten maken voor incident response, systeemherstel, juridische bijstand en boetes van toezichthouders. Daarnaast kunnen de financiële gevolgen op lange termijn bestaan uit gemiste zakelijke kansen en een lagere marktwaarde.
LOTL-aanvallen voorkomen
LOTL-aanvallen voorkomen vraagt om een defense-in-depth-aanpak: monitoring van ingebouwde tools, strikte toegangscontrole en systemen die regelmatig worden bijgewerkt en gepatcht. Met deze maatregelen verkleint u het risico dat aanvallers legitieme systeemfuncties misbruiken voor kwaadaardige doeleinden.
Monitor ingebouwde tools
Houd ingebouwde tools zoals PowerShell, WMI en andere opdrachtregelprogramma’s nauwlettend in de gaten. Richt logging en notificaties in om ongebruikelijke of ongeautoriseerde activiteit te detecteren. U kunt bijvoorbeeld notificaties instellen voor specifieke PowerShell-opdrachten of -scripts die vaak bij aanvallen worden gebruikt. Door deze tools te controleren, herkent u verdacht gedrag snel en kunt u er direct op reageren.
Voer strikte toegangscontrole in
Beperk de toegang tot beheertools en -functies tot uitsluitend die gebruikers die ze echt nodig hebben. Hanteer het principe van minste voorrecht, zodat gebruikers en processen alleen de minimale rechten hebben die ze nodig hebben om hun taken uit te voeren, en implementeer role-based access control (RBAC) om die beperkingen te beheren en af te dwingen. Overweeg daarnaast multi-factor authentication (MFA) als extra beveiligingslaag voor toegang tot uw kritieke tools en systemen.
Werk uw systemen regelmatig bij en patch ze
Zorg ervoor dat al uw systemen en software zijn voorzien van de nieuwste beveiligingspatches en updates. Door kwetsbaarheden volgens de beste praktijken te patchen, voorkomt u dat aanvallers bekende zwakke plekken in uw omgeving misbruiken. Gebruik geautomatiseerde tools om updates in uw hele netwerk te beheren en uit te rollen. Houd bovendien security advisories in de gaten en pas uw verdediging aan op nieuwe en opkomende dreigingen.
Wilt u verborgen dreigingen opsporen? Bekijk nu Living off the land-aanvallen (LoTL): alles wat u moet weten.
Pak een living off the land-aanval aan met NinjaOne
Bescherm uw organisatie tegen LOTL-aanvallen met proactieve beveiligingsmaatregelen en een defense-in-depth-strategie. De ingebouwde tools voor eindpuntbeveiliging van NinjaOne zijn een uitstekend startpunt om LOTL-aanvallen te voorkomen. Ontdek hoe de eindpuntbeveiliging van NinjaOne uw beveiligingsbeleid kan versterken.
