Согласно исследованию Bitdefender, проанализировавшему 700,000+ реальных атак, 84% из них были реализованы через "Living Off the Land" (LOTL) технику - когда атакующий не тащит малварь, а юзает то, что уже есть в системе.
Это значит: ни сигнатур, ни скачиваний, ни подозрительных payload - только родные netsh.exe, powershell.exe, wmic.exe и прочий "мусор", давно забытый администраторами, но горячо любимый реверс-инженерами и red team.
Инструменты:
Гео-стата:
В общем tсли ты до сих пор пихаешь .exe и ждёшь, что сработает - ты в прошлом. LOTL - это про то, чтобы расствориться в потоке нормальной активности. Время уметь использовать regsvr32, собирать C2 на mshta, и всегда иметь Invoke-Obfuscation под рукой.
Это значит: ни сигнатур, ни скачиваний, ни подозрительных payload - только родные netsh.exe, powershell.exe, wmic.exe и прочий "мусор", давно забытый администраторами, но горячо любимый реверс-инженерами и red team.
Инструменты:
- netsh.exe - лучший для тихих атак. Используется в трети всех high-severity инцидентов. Особенно для сетевых проксей, обхода firewall и создания скрытых туннелей.
- powershell.exe, pwsh.exe - швейцарский нож пентестера. Используется практически повсеместно, особенно в корпоративных доменах. Разворотка C2, импланты, сбор данных, lateral movement - всё в одном.
- wscript.exe, cscript.exe - старички не сдают позиций. Поднимают payload’ы на VBS, часто обходят EDR за счёт легитимного использования в старом софте.
- mshta.exe, bitsadmin.exe, regsvr32.exe - каноничные LOLBin’ы. Отличные в Initial Access фазе: позволяют исполнить код с удалённого ресурса или регистрировать DLL без создания файла.
- wmic.exe тоже жив. Используется в кейсах с постэксплуатацией для сбора инфы о системе, запущенных процессах и конфигурации.
Гео-стата:
- EMEA (Европа, Ближний Восток, Африка): PowerShell используется в 97.3% организаций.
- APAC: Только 53.3%, из-за других архитектур и софта.
В общем tсли ты до сих пор пихаешь .exe и ждёшь, что сработает - ты в прошлом. LOTL - это про то, чтобы расствориться в потоке нормальной активности. Время уметь использовать regsvr32, собирать C2 на mshta, и всегда иметь Invoke-Obfuscation под рукой.
