Living off the Land — Living off the Land (Leben vom Land)

Living off the Land bezeichnet eine Angriffstechnik, bei der die Angreifer keine eigene Schadsoftware mitbringen, sondern die bereits vorhandenen, legitimen Bordmittel des Systems missbrauchen — etwa Verwaltungswerkzeuge und Skriptsprachen des Betriebssystems. So tarnen sie sich als normaler Betrieb. Genau das macht sie für klassische Virenschutzlösungen so schwer fassbar.

Historie & Fakten. Statt eine erkennbare Schaddatei abzulegen, nutzen Angreifer vorhandene, signierte Systemwerkzeuge (oft „LOLBins“ genannt) und Skriptumgebungen, um Befehle auszuführen, Daten zu sammeln oder sich weiterzubewegen. Häufig geschieht das dateilos, also nur im Arbeitsspeicher, ohne dauerhafte Spur auf dem Datenträger. Der Vorteil für die Angreifer: Ein Virenschutz, der nach bekannten Schaddateien sucht, schlägt nicht an, weil die verwendeten Werkzeuge legitim und erwünscht sind. Diese Technik ist heute fester Bestandteil vieler Angriffe — von der lateralen Bewegung bis zur Vorbereitung von Ransomware. Ausblick & Empfehlung. Weil hier legitime Mittel missbraucht werden, hilft nicht die Frage „Ist diese Datei bösartig?“, sondern „Ist dieses Verhalten in diesem Kontext normal?“. Gefragt sind daher Verhaltenserkennung, eine genaue Protokollierung von Befehlsausführung und Skriptaktivität sowie — weil vieles nur im Speicher passiert — die Speicherforensik (siehe Volatility, Memory Dump). Hilfreich ist es zudem, mächtige Bordmittel einzuschränken und ihre Nutzung eng zu überwachen. Living off the Land ist ein Paradebeispiel dafür, warum moderne Erkennung von der Datei zum Verhalten übergehen muss.

Auch interessant