Living-Off-the-Land (LOTL) aanvallen: Alles wat u moet weten
Living-off-the-land (LOTL) aanvallen zijn een steeds populairdere tactiek onder cybercriminelen. Een Advanced Persistent Threat (APT), een LOTL-aanval maakt gebruik van legitieme en vertrouwde systeemtools om een cyberaanval uit te voeren en detectie te ontwijken. In dit artikel bespreken we de diverse aspecten van LOTL-aanvallen en hoe u zich kunt voorbereiden op en het risico van deze complexe aanval kunt beperken.
Wat is een Living-Off-the-Land (LOTL) aanval?
Een LOTL-aanval is een type cyberaanval waarbij een hacker legitieme tools en functies gebruikt die al aanwezig zijn op het doelsysteem om detectie te vermijden en een aanval uit te voeren. Bij dit type aanval gebruikt de hacker geen kwaadaardige software of code die eenvoudig door traditionele beveiligingsoplossingen kan worden opgespoord. In plaats daarvan maken ze gebruik van ingebouwde mogelijkheden van het besturingssysteem, beheertools en batchbestanden om het systeem te controleren en gevoelige informatie te stelen.
LOTL is een populaire techniek onder hackers omdat het beveiligingssystemen bemoeilijkt om de aanval te detecteren. De hacker gebruikt bestaande systeemfunctionaliteiten die geen argwaan wekken, en de gebruikte tools zijn vaak lastig te detecteren door standaard beveiligingsoplossingen. Omdat de aanval legitieme tools gebruikt, is het moeilijk om de aanval te onderscheiden van normale systeemactiviteiten.
Voorbeelden van LOTL-aanvallen zijn het gebruik van PowerShell of Windows Management Instrumentation (WMI) om kwaadaardige activiteiten uit te voeren, ingebouwde scripttalen zoals Python of Ruby inzetten om schadelijke scripts te maken, of geplande taken en registersleutels gebruiken om kwaadaardige code uit te voeren. We bespreken deze voorbeelden hieronder in detail.
Soorten LOTL-aanvallen
LOTL-aanvallen worden steeds populairder onder cybercriminelen vanwege hun effectiviteit in het omzeilen van traditionele beveiligingsmaatregelen. Deze aanvallen maken gebruik van legitieme tools en technieken om kwaadaardige activiteiten uit te voeren, waardoor ze moeilijk te detecteren zijn. Er zijn diverse soorten LOTL-aanvallen, waaronder binary planting, Registry Run Keys, fileless malware en PowerShell-gebaseerde aanvallen. Elk van deze aanvallen vormt een aanzienlijke dreiging voor zowel organisaties als individuen en vereist proactieve maatregelen om te voorkomen en detecteren.
Binary Planting
Binary planting, ook wel DLL-hijacking of DLL-side-loading genoemd, is een type LOTL-aanval waarbij een legitiem DLL-bestand wordt vervangen door een kwaadaardig exemplaar. Wanneer een applicatie het legitieme DLL-bestand probeert te gebruiken, laadt het onbewust het kwaadaardige bestand, waardoor de aanvaller code kan uitvoeren op het systeem van het slachtoffer. Deze aanval kan bijzonder gevaarlijk zijn omdat hiermee applicaties kunnen worden misbruikt die met verhoogde rechten draaien, zoals systeemservices en beheertools. Detectie van deze aanval is lastig omdat het vaak lijkt op een legitiem proces.
Registry Run Keys
Registry Run Keys zijn een techniek die door aanvallers wordt gebruikt om hun kwaadaardige code bij het opstarten van een systeem uit te voeren. De aanvallers plaatsen hun malware in de registersleutel die instructies bevat om een specifiek programma bij het opstarten uit te voeren. De code kan worden toegevoegd aan een van de Registry Run Keys, zoals:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun, of
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun.
Dit type aanval is bijzonder gevaarlijk omdat het een aanvaller in staat stelt om persistentie te behouden op een geïnfecteerd systeem, zelfs na een herstart. Het kan de aanvaller ook in staat stellen om privileges te verhogen.
Fileless Malware
Fileless malware is een geavanceerd type LOTL-aanval dat traditionele antivirussoftware omzeilt door zich in het geheugen van de computer te nestelen in plaats van op het bestandssysteem. De aanvallers gebruiken scripttalen zoals PowerShell of Windows Management Instrumentation (WMI) om code direct in het geheugen uit te voeren. Hierdoor is er geen bestand om te scannen, wat detectie bemoeilijkt. Fileless malware kan worden gebruikt om gevoelige data te stelen, backdoors te installeren of diverse andere kwaadaardige activiteiten uit te voeren en vormt daarmee een aanzienlijke dreiging voor organisaties die vertrouwen op traditionele antivirusoplossingen.
PowerShell-gebaseerde aanvallen
PowerShell-gebaseerde aanvallen maken gebruik van Windows PowerShell, een krachtige scripttaal die standaard in Windows aanwezig is, om kwaadaardige code uit te voeren. Aanvallers kunnen PowerShell gebruiken om traditionele antivirus- en andere beveiligingsmaatregelen te omzeilen door PowerShell-scripts te gebruiken om commando’s uit te voeren en malware te draaien. PowerShell-gebaseerde aanvallen kunnen worden ingezet om inloggegevens te stelen, extra malware te downloaden en zich door een netwerk te verspreiden. Omdat PowerShell een legitiem hulpmiddel is voor beheerders, is detectie van deze aanval lastig, zeker als de aanvaller toegang heeft tot een beheerdersaccount of verhoogde rechten.
Opvallende LOTL-aanvallen uit de praktijk
- NotPetya (2017): Deze vernietigende aanval maakte gebruik van legitieme beheertools zoals Windows Management Instrumentation (WMI) en PsExec om zich razendsnel door netwerken te verspreiden, vermomd als ransomware maar uiteindelijk bedoeld om data te vernietigen. De belangrijkste les van NotPetya was de noodzaak om netwerken te segmenteren en het gebruik van beheertools te controleren om laterale beweging van aanvallers te beperken.
- SolarWinds SUNBURST (2020): Geavanceerde aanvallers compromitteerden het SolarWinds Orion Platform en gebruikten de vertrouwde software-update om een backdoor te plaatsen die PowerShell gebruikte voor commando-uitvoering en data-exfiltratie. Deze supply chain-aanval benadrukte het belang van gedragsmonitoring en anomaliedetectie, omdat de kwaadaardige activiteit opging in legitiem netwerkverkeer.
- HAFNIUM Exchange Server-aanvallen (2021): Deze door de staat gesteunde groep misbruikte kwetsbaarheden in Microsoft Exchange Servers om web shells te plaatsen, die vervolgens ingebouwde systeemtools gebruikten om inloggegevens te dumpen en lateraal te bewegen. Het incident benadrukte het belang van snel patchen van systemen die aan het internet blootstaan en het monitoren van verdachte processen die door webservers worden gestart.
- APT29 (ook bekend als Nobelium/Cozy Bear): Deze Advanced Persistent Threat-groep gebruikt vaak WMI voor persistentie, door kwaadaardige event subscriptions te maken die scripts activeren zonder bestanden naar de schijf te schrijven, waardoor hun aanwezigheid extreem moeilijk te detecteren is. Hun werkwijze toont aan dat diepgaande monitoring van systeem event logs en WMI-activiteit essentieel is om zeer geavanceerde tegenstanders te detecteren.
LOLDrivers: Living Off-the-Land Drivers
LOLDrivers, of Living Off the Land Drivers, zijn een gespecialiseerde LOTL-techniek waarbij aanvallers legitieme, ondertekende kernel-mode drivers misbruiken om kwaadaardige acties uit te voeren. In plaats van een kwaadaardige driver te gebruiken die door beveiligingssoftware zou worden gemarkeerd, maken ze misbruik van kwetsbaarheden in vertrouwde drivers—vaak afkomstig van externe hardware of software—die al aanwezig zijn of zonder argwaan aan het systeem kunnen worden toegevoegd. Veelvoorkomende misbruikgevallen zijn het verhogen van privileges tot kernel-niveau, het beëindigen of uitschakelen van beveiligingstools zoals EDR en antivirus vanuit een positie van ultieme autoriteit, en het direct lezen van geheugen om inloggegevens te stelen. Detectie van deze activiteit vereist meer dan alleen bestandscontrole; het vraagt om monitoring van het laden van bekende kwetsbare drivers en gedragsanalyse om verdachte kernel-level API-aanroepen of procesmanipulaties te herkennen die afwijken van de normale functie van de driver.
Hoe werken LOTL-aanvallen?
LOTL-aanvallen werken door vertrouwde systeemtools en applicaties te misbruiken om detectie te ontwijken. Aanvallers maken gebruik van bestaande kwetsbaarheden en zwakke plekken in deze tools om kwaadaardige code uit te voeren en persistentie op het systeem te behouden.
Misbruik van vertrouwde systeemtools
LOTL-aanvallen zijn sterk afhankelijk van het misbruiken van vertrouwde systeemtools, zoals PowerShell, Windows Management Instrumentation (WMI) en command-line interfaces. Aanvallers gebruiken deze tools om commando’s uit te voeren, systeemconfiguraties aan te passen en andere taken uit te voeren zonder gebruikers of beveiligingssystemen te alarmeren. Omdat deze tools vertrouwd zijn bij gebruikers, kunnen aanvallers zich eenvoudig mengen tussen legitieme gebruikers en detectie ontwijken.
Gebruikmaken van bestaande kwetsbaarheden
LOTL-aanvallen kunnen ook gebruikmaken van bestaande kwetsbaarheden binnen het doelsysteem. Aanvallers kunnen deze kwetsbaarheden uitbuiten om toegang te krijgen tot gevoelige informatie of commando’s op het systeem uit te voeren. Omdat deze kwetsbaarheden al in het systeem aanwezig zijn, hoeven aanvallers ze niet zelf te creëren of complexe hacktechnieken toe te passen. Ze kunnen simpelweg een bekende kwetsbaarheid benutten om toegang te krijgen.
Kwaadaardige code verbergen in onschuldige bestanden
Tot slot kunnen LOTL-aanvallen bestaan uit het verbergen van kwaadaardige code in ogenschijnlijk onschuldige bestanden. Aanvallers kunnen bijvoorbeeld kwaadaardige code insluiten in vertrouwde bestandstypen, zoals PDF’s of Word-documenten, en gebruikers verleiden deze te downloaden of te openen. Zodra de gebruiker het bestand opent, wordt de ingesloten code uitgevoerd en krijgt de aanvaller toegang tot het systeem. Dit type aanval staat bekend als een fileless-aanval omdat de aanvaller geen software hoeft te installeren op het doelsysteem.
Waarom LOTL-aanvallen een favoriete tactiek blijven voor dreigingsactoren
Een van de belangrijkste strategische voordelen van LOTL-aanvallen is onopvallendheid. Door gebruik te maken van native, ondertekende systeembinaries zoals PowerShell, WMI of `rundll32.exe`, kunnen aanvallers traditionele, op signatures gebaseerde beveiligingstools zoals antivirussoftware omzeilen. Deze tools zien legitieme processen en slaan geen alarm, waardoor tegenstanders langere tijd onopgemerkt kunnen opereren. Deze methode ondermijnt ook direct application allow-listing (whitelisting) beleid, omdat de gebruikte tools vrijwel altijd op de goedgekeurde lijst staan. Bovendien verlaagt deze aanpak de operationele kosten en ontwikkeltijd voor de aanvaller aanzienlijk, omdat ze geen eigen malware hoeven te maken. Deze factoren zijn vooral aantrekkelijk voor Advanced Persistent Threat (APT)-groepen, waarvan de missies afhankelijk zijn van langdurige, langzame infiltratie om spionagedoelen te bereiken. Evenzo maken ransomware-operators gebruik van LOTL voor snelle post-exploitatiebeweging en het verzamelen van inloggegevens, waardoor ze privileges kunnen verhogen en hun payloads over een netwerk kunnen uitrollen voordat verdedigers kunnen reageren.
Tools die cybercriminelen gebruiken bij LOTL-aanvallen
De volgende tools worden vaak gebruikt door aanvallers bij diverse cyberaanvallen, waaronder LOTL-aanvallen. Ze bieden een breed scala aan mogelijkheden, zoals netwerkscanning, remote execution, wachtwoorden kraken en het uitbuiten van kwetsbaarheden. Deze tools worden vaak gecombineerd ingezet om informatie te verzamelen, toegang tot systemen te verkrijgen en persistentie te behouden op het doelnetwerk. Het gebruik van deze tools vereist een hoog technisch niveau en ze zijn ook populair bij security professionals voor penetratietests en kwetsbaarheidsanalyses.
| Tool | Hoe wordt het gebruikt bij LOTL-aanvallen |
|---|---|
| PowerShell | PowerShell is een scripttaal en command shell die bij LOTL-aanvallen wordt gebruikt om commando’s uit te voeren op het doelsysteem en diverse taken te automatiseren. Aanvallers kunnen PowerShell inzetten om kwaadaardige code te downloaden en uit te voeren, beveiligingsmaatregelen te omzeilen en detectie te ontwijken. |
| Metasploit Framework | Het Metasploit Framework is een populaire tool die bij LOTL-aanvallen wordt gebruikt voor penetratietests en het uitbuiten van kwetsbaarheden. Het biedt diverse modules om zwakke plekken in systemen te identificeren en uit te buiten, waaronder remote code execution en privilege escalation. |
| Mimikatz | Mimikatz is een krachtige hackingtool die bij LOTL-aanvallen wordt ingezet om platte tekst wachtwoorden, hashes en andere gevoelige informatie uit het Windows-besturingssysteem te halen. Aanvallers kunnen Mimikatz gebruiken om inloggegevens te verkrijgen en toegang te krijgen tot andere systemen binnen het netwerk. |
| Cobalt Strike | Cobalt Strike is een penetratietesttool die vaak wordt gebruikt bij LOTL-aanvallen om Advanced Persistent Threats (APT’s) te simuleren en red team-assessments uit te voeren. Het biedt diverse functies, waaronder command-and-control (C2) servers, payloadgeneratie en post-exploitatie tools. |
| Nmap | Nmap is een netwerk mapping- en portscanningtool die bij LOTL-aanvallen wordt gebruikt om open poorten, services en kwetsbaarheden op doelsystemen te identificeren. Het kan worden ingezet om informatie over de netwerktopologie te verzamelen, potentiële aanvalsvectoren te identificeren en besturingssystemen en applicaties te fingerprinten. |
| Wireshark | Wireshark is een netwerkprotocol-analyzer die bij LOTL-aanvallen wordt gebruikt om netwerkverkeer te onderscheppen en te analyseren. Het kan worden ingezet om communicatiepatronen te herkennen, kwetsbare services te identificeren en gevoelige informatie uit netwerkpakketten te halen. |
| Netcat | Netcat is een veelzijdige netwerkttool die bij LOTL-aanvallen wordt gebruikt voor TCP/IP socket-programmering. Het kan worden ingezet om verbindingen op te zetten, bestanden over te dragen en remote commando’s uit te voeren op doelsystemen. |
| Aircrack-ng | Aircrack-ng is een suite van tools die bij LOTL-aanvallen wordt ingezet voor het testen en kraken van draadloze netwerkbeveiliging. Het kan worden gebruikt om pakketten te onderscheppen, brute-force aanvallen uit te voeren en encryptiesleutels te kraken om ongeautoriseerde toegang tot draadloze netwerken te krijgen. |
| John the Ripper | John the Ripper is een wachtwoordkraker die bij LOTL-aanvallen wordt gebruikt om wachtwoordsterkte te testen en wachtwoordhashes te kraken. Het ondersteunt diverse hashtypen en kan worden ingezet om zwakke of kwetsbare wachtwoorden te identificeren. |
| Hashcat | Hashcat is een wachtwoordkraker die bij LOTL-aanvallen wordt gebruikt voor het testen en kraken van wachtwoordhashes. Het ondersteunt een breed scala aan hash-algoritmen en kan worden ingezet voor brute-force aanvallen, woordenboekaanvallen en regelgebaseerde aanvallen om wachtwoorden te kraken en ongeautoriseerde toegang tot systemen en accounts te verkrijgen. |
Hoe LOTL-aanvallen te detecteren
Het detecteren van LOTL-aanvallen kan een uitdaging zijn omdat aanvallers vertrouwde systeemtools en bestaande kwetsbaarheden gebruiken om detectie te ontwijken. Er zijn echter enkele strategieën die organisaties kunnen inzetten om deze aanvallen te detecteren en te voorkomen. Het monitoren van systeemlogs en netwerkverkeer kan bijvoorbeeld helpen om ongebruikelijke of verdachte activiteiten te signaleren. Daarnaast kan endpoint detection and response (EDR) beveiligingssoftware helpen om LOTL-aanvallen in realtime te detecteren en erop te reageren. Regelmatig scannen op kwetsbaarheden en patchen kan ook voorkomen dat aanvallers bekende kwetsbaarheden in het systeem uitbuiten.
De impact van LOTL-aanvallen
De impact van LOTL-aanvallen kan aanzienlijk zijn, variërend van datadiefstal tot volledige systeemcompromittering. Deze aanvallen kunnen leiden tot verlies van gevoelige informatie, verstoring van bedrijfsprocessen, financiële schade en reputatieschade voor een organisatie. Praktijkvoorbeelden van LOTL-aanvallen zijn de Petya- en NotPetya-aanvallen in 2017. Deze aanvallen veroorzaakten aanzienlijke schade bij bedrijven en organisaties wereldwijd. Het betrof ransomware die de bestanden van het slachtoffer versleutelde en betaling eiste voor de decryptiesleutel. In tegenstelling tot traditionele ransomware verspreidde de Petya- en NotPetya-malware zich echter razendsnel door netwerken via diverse infectieroutes, waaronder het uitbuiten van kwetsbare software. NotPetya was bijzonder schadelijk, omdat het vermomd was als ransomware maar in werkelijkheid bedoeld was om data op geïnfecteerde machines te vernietigen. De schade werd wereldwijd op miljarden dollars geschat en diende als herinnering aan het belang van robuuste cyberbeveiligingspraktijken. De economische gevolgen van LOTL-aanvallen kunnen ernstig zijn, vooral voor kleine en middelgrote bedrijven die mogelijk niet over de middelen beschikken om van dergelijke aanvallen te herstellen.
Hoe Living-Off-the-Land (LOTL) aanvallen te voorkomen
Het voorkomen van LOTL-aanvallen is cruciaal voor organisaties om de integriteit en beveiliging van hun gevoelige informatie te waarborgen. Deze aanvallen zijn lastig te detecteren en kunnen grote schade aanrichten. Door bepaalde maatregelen te implementeren kan het risico op LOTL-aanvallen echter worden verminderd. Deze maatregelen zijn onder andere:
Beperk het gebruik van scripttalen
LOTL-aanvallen zijn afhankelijk van het gebruik van scripttalen om kwaadaardige code uit te voeren. Door het gebruik van scripttalen te beperken of strikte controles in te voeren, kan het risico op deze aanvallen worden verkleind.
Monitor systeemactiviteit
Implementeer een robuust systeem voor het monitoren van systeemactiviteit en toegang tot bestanden. Dit kan helpen om ongebruikelijke toegangs- of gebruikspatronen te detecteren die kunnen wijzen op een LOTL-aanval.
Update software regelmatig
Regelmatige software-updates kunnen kwetsbaarheden dichten die door LOTL-aanvallen kunnen worden misbruikt. Zorg ervoor dat alle software en applicaties binnen de organisatie up-to-date zijn met de laatste versies.
Implementeer least-privilege toegangscontrole
Het beperken van toegang tot gevoelige data en middelen kan het risico op LOTL-aanvallen verkleinen. Implementeer een least-privilege toegangsbeleid, zodat gebruikers alleen toegang hebben tot de data en middelen die ze nodig hebben voor hun functie.
Implementeer sterke gebruikersauthenticatie
Sterke gebruikersauthenticatie, zoals multi-factor authentication, kan ongeautoriseerde toegang tot gevoelige data en middelen voorkomen.
Informeer gebruikers
Gebruikers kunnen onbedoeld kwetsbaarheden introduceren door kwaadaardige software te downloaden of op phishinglinks te klikken. Regelmatige training van medewerkers kan gebruikers informeren over goede beveiligingspraktijken en de kans op LOTL-aanvallen verkleinen.
Herstel na een LOTL-datalek: stappen na het incident
- Isoleren en indammen: Koppel direct gecompromitteerde systemen los van het netwerk om verspreiding van de dreiging te voorkomen. Dit omvat het uitschakelen van getroffen gebruikersaccounts en het blokkeren van communicatie met bekende kwaadaardige IP-adressen of domeinen.
- Forensisch onderzoek uitvoeren: Schakel een digitaal forensisch team in om getroffen systemen te analyseren. Het doel is om de specifieke LOTL-technieken te identificeren, de activiteiten van de aanvaller te traceren, de volledige omvang van het datalek te bepalen en vast te stellen welke data eventueel is ingezien of geëxfiltreerd.
- Dreiging uitroeien: Zodra de methoden van de aanvaller bekend zijn, verwijder alle kwaadaardige artefacten. Dit houdt in: alle gecompromitteerde inloggegevens resetten, persistentiemechanismen zoals kwaadaardige geplande taken of registersleutels verwijderen en ervoor zorgen dat er geen backdoors achterblijven.
- Patchen, hardenen en herstellen: Breng alle relevante beveiligingspatches aan voor misbruikte kwetsbaarheden. Configureer systemen opnieuw voor meer veiligheid door ongebruikte services uit te schakelen en strengere PowerShell-uitvoeringsbeleid af te dwingen, en herstel vervolgens data veilig vanaf schone back-ups op opnieuw ingerichte systemen.
- Communiceren en rapporteren: Volg het communicatieprotocol van uw incident response plan. Informeer interne belanghebbenden, juridisch adviseurs en indien nodig toezichthouders en getroffen klanten volgens de meldplicht bij datalekken.
- Evaluatie en lering trekken: Voer na de acute fase een post-mortem analyse uit. Evalueer welke beveiligingsmaatregelen faalden en welke succesvol waren, en gebruik deze inzichten om uw beveiligingsbeleid, tools en verdediging te verbeteren om herhaling te voorkomen.
Bescherm gevoelige content tegen LOTL-aanvallen met Kiteworks
Het Kiteworks Private Content Network (PCN) is een veilig platform voor bedrijven en organisaties om gevoelige content te delen, samen te werken en te beheren. Met de toename van de complexiteit van living-off-the-land (LOTL) aanvallen moeten bedrijven waakzaam zijn in het beschermen van hun gevoelige content tegen misbruik. LOTL-aanvallen houden in dat hackers legitieme tools gebruiken die al op het systeem aanwezig zijn om ongeautoriseerde toegang tot gevoelige informatie te verkrijgen. Kiteworks beschikt over unieke functies en mogelijkheden die het tot een waardevol middel maken in de verdediging tegen deze aanvallen.
Kiteworks biedt end-to-end encryptie van alle content tijdens overdracht en opslag, zodat alleen geautoriseerd personeel toegang heeft tot de informatie. Daarnaast beschikt het platform over een robuust, granulaire toegangscontrole waarmee organisaties de toegang tot hun content op detailniveau kunnen beheren. Dit zorgt ervoor dat alleen bevoegde personen toegang hebben tot specifieke informatie, waardoor het risico op ongeautoriseerde toegang en datalekken, diefstal en datalekken wordt verkleind.
Kiteworks biedt een robuust audit- en rapportagesysteem dat alle activiteiten binnen het platform bijhoudt en logt. Dit geeft volledige, uitgebreide zichtbaarheid in wie gevoelige data heeft geraadpleegd, gewijzigd of gedeeld, waardoor het eenvoudiger wordt om naleving aan te tonen en snel te reageren op kwaadaardige activiteiten.
Kiteworks beschikt ook over geïntegreerde preventie van gegevensverlies (DLP: Data Loss Prevention) die voorkomt dat gevoelige content zoals klantgegevens, financiële informatie en intellectueel eigendom de organisatie verlaat. De backup- en disaster recovery (BDR) mogelijkheden van Kiteworks bieden organisaties gemoedsrust door ervoor te zorgen dat hun content veilig en herstelbaar is bij een ramp of dataverlies. Het platform maakt dagelijkse back-ups van alle opgeslagen content, zodat organisaties hun data snel kunnen herstellen bij een onverwachte storing of cyberaanval.
Wilt u meer weten over Kiteworks en hoe het Private Content Network u kan helpen om de meest gevoelige content van uw organisatie te beschermen? Neem dan vandaag nog contact met ons op voor een demo.