Diferente dos ataques tradicionais, que dependem de malware externo ou da exploração de vulnerabilidades, os ataques living off the land permitem que agentes maliciosos se misturem às operações legítimas do sistema, o que dificulta a detecção.
O que é um ataque living off the land (LOTL)?
O termo “living off the land” descreve uma técnica de invasão em que os atacantes usam ferramentas e recursos legítimos do sistema operacional para executar atividades maliciosas. Um ataque living off the land se apoia em utilitários confiáveis, já instalados no sistema, para escapar da detecção e realizar diversas ações.
Criminosos cibernéticos costumam usar utilitários de linha de comando, ambientes de script e ferramentas administrativas para iniciar um ataque LOTL. Eles podem, por exemplo, usar o PowerShell ou o Windows Management Instrumentation (WMI) para executar comandos, coletar informações e se mover lateralmente pela rede.
Principais características dos ataques LOTL
Ataques living off the land são difíceis de detectar e de conter. Entre suas principais características, estão:
Uso de ferramentas nativas
Um ataque living off the land depende fortemente de ferramentas e recursos nativos do sistema operacional. Os atacantes usam os mesmos utilitários e comandos confiáveis que os administradores de sistemas usam no dia a dia, o que permite se camuflar, executar comandos, coletar dados e manipular o sistema — tudo sem introduzir código estranho que poderia ser sinalizado pelo software de segurança.
Baixa detectabilidade
Um dos aspectos mais complicados do ataque living off the land é a baixa detectabilidade. Como as ações do atacante se confundem perfeitamente com as operações normais do sistema, elas passam despercebidas por mais tempo e ampliam o estrago potencial. Sistemas de segurança que dependem de detecção por assinatura ou da busca por padrões conhecidos de malware perdem eficácia nesse cenário.
Rastro mínimo
Os ataques LOTL deixam um rastro mínimo no sistema-alvo. Como os atacantes não precisam instalar novos softwares nem alterar muito os arquivos existentes, evitam boa parte dos vestígios típicos do malware tradicional.
Esse rastro mínimo torna a análise forense e as investigações pós-ataque bem mais difíceis. Os atacantes conseguem executar suas operações e apagar rapidamente qualquer vestígio, o que complica o trabalho de rastrear a atividade até a origem.
Exemplos de ataques living off the land (LOTL)
Um ataque LOTL pode assumir várias formas, com o uso de diferentes ferramentas e métodos. Veja alguns exemplos conhecidos de ataques living off the land (LOTL):
- Exploração do PowerShell: os atacantes usam scripts do PowerShell para executar comandos, baixar payloads maliciosos e estabelecer persistência na rede. Os amplos recursos do PowerShell e a confiança que ele já tem no sistema fazem dele um alvo preferencial dos ataques living off the land.
- Abuso do WMI: com o WMI, os atacantes conseguem coletar informações, executar código e se mover lateralmente pela rede. As funções administrativas do WMI são exploradas para realizar ações sem disparar alarmes imediatos.
- Credential dumping: os atacantes usam ferramentas como o Mimikatz para extrair credenciais da memória. Ao explorar o Local Security Authority Subsystem Service (LSASS), obtêm senhas e hashes para elevar privilégios e acessar outros sistemas.
- Tarefas agendadas: criar ou modificar tarefas agendadas permite aos atacantes executar código malicioso em horários ou intervalos definidos. O método ajuda a manter a persistência e a automatizar atividades maliciosas sem intervenção direta.
- Binários living off the land (LOLBins): executáveis legítimos como bitsadmin.exe, certutil.exe e wmic.exe são usados para baixar arquivos, mover dados e executar comandos. As ferramentas de segurança costumam ignorar esses binários, já que são componentes confiáveis do sistema operacional.
Impacto dos ataques LOTL nas organizações
Um ataque living off the land pode afetar bastante sua organização: atinge as operações, a postura de segurança e a confiança nos próprios sistemas. Para montar uma estratégia de defesa eficaz e garantir resiliência diante de ameaças tão sofisticadas, é preciso entender como esses ataques impactam o negócio.
Interrupção das operações
Os ataques LOTL podem causar grandes interrupções operacionais. Com ferramentas nativas, os atacantes desativam serviços críticos, corrompem dados ou interferem em processos essenciais. Essas interrupções paralisam as operações do negócio e geram prejuízo financeiro e danos à reputação da organização.
Vazamento e roubo de dados
Um dos principais objetivos dos ataques LOTL é acessar e exfiltrar dados sensíveis. Usando ferramentas confiáveis do sistema, os atacantes se movem lateralmente pela rede e coletam credenciais e informações sensíveis. Esses dados podem incluir informações pessoais, registros financeiros, propriedade intelectual e outros ativos confidenciais.
Mais riscos de segurança
Os ataques LOTL exploram a confiança e a funcionalidade inerentes a ferramentas legítimas, o que dificulta a detecção pelas medidas de segurança tradicionais. Isso aumenta o risco geral enfrentado pela organização. Os atacantes conseguem manter persistência na rede por longos períodos, fazer reconhecimento e planejar novos ataques.
Danos financeiros e de reputação
O impacto financeiro de um ataque living off the land pode ser profundo. A organização pode arcar com custos de resposta a incidentes, restauração de sistemas, taxas jurídicas e multas regulatórias. Além disso, os efeitos financeiros de longo prazo incluem perda de oportunidades de negócio e queda no valor de mercado.
Como prevenir ataques LOTL
Prevenir ataques LOTL exige uma abordagem de defesa em profundidade, que inclui monitorar as ferramentas nativas, aplicar controles de acesso rígidos e atualizar e corrigir os sistemas com regularidade. Essas medidas ajudam a reduzir o risco de atacantes explorarem funções legítimas do sistema para fins maliciosos.
Monitore as ferramentas nativas
Acompanhe de perto ferramentas nativas como PowerShell, WMI e outros utilitários de linha de comando. Configure mecanismos de log e alerta para detectar atividades incomuns ou não autorizadas. É possível, por exemplo, criar alertas para comandos ou scripts do PowerShell usados com frequência em ataques. Ao vigiar essas ferramentas, você identifica e responde rapidamente a comportamentos suspeitos.
Aplique controles de acesso rígidos
Restrinja o acesso a ferramentas e funções administrativas apenas a quem realmente precisa delas. Use o princípio do menor privilégio para garantir que usuários e processos tenham somente as permissões mínimas necessárias às suas tarefas e implemente o controle de acesso baseado em função (RBAC) para gerenciar e aplicar essas restrições. Considere também usar autenticação multifator (MFA) para adicionar uma camada extra de segurança no acesso às ferramentas e aos sistemas críticos.
Atualize e corrija os sistemas com regularidade
Mantenha todos os sistemas e softwares em dia com os patches e as atualizações de segurança mais recentes. Corrigir vulnerabilidades seguindo as melhores práticas com regularidade impede que atacantes explorem falhas conhecidas no ambiente. Use ferramentas automatizadas para gerenciar e distribuir atualizações em toda a rede. Além disso, acompanhe os boletins de segurança e ajuste suas defesas para lidar com ameaças novas e emergentes.
Quer detectar ameaças furtivas? Assista agora a Ataques living off the land (LoTL): tudo o que você precisa saber.
Enfrente os ataques living off the land com NinjaOne
Para proteger sua organização contra ataques LOTL, adote medidas de segurança proativas e uma estratégia de defesa em profundidade. As ferramentas nativas de segurança de endpoint do NinjaOne são um ótimo ponto de partida na prevenção de ataques LOTL. Veja como a segurança de endpoint do NinjaOne pode fortalecer sua postura de segurança.
