Punti chiave
- Un attacco living off the land usa strumenti già presenti nel sistema, come PowerShell, certutil, WMI o cmd.exe, invece di malware proprio; i LOLBins sono questi binari legittimi e firmati.
- La guida congiunta CISA, NSA, FBI e partner del 7 febbraio 2024 li descrive come un modo per confondersi con l'attività normale, osservato in ambienti Windows, Linux, macOS, cloud e ibridi.
- L'antivirus fatica a vederli perché il file è affidabile e firmato, gli indicatori di compromissione sono pochi e si cambiano facilmente, e gli EDR non tarati possono non dare alert.
- MITRE ATT&CK cataloga queste tecniche, per esempio T1218 (System Binary Proxy Execution), T1059.001 (PowerShell), T1047 (WMI) e T1105 per i download con certutil; il progetto LOLBAS elenca i binari Windows abusabili.
- Si rilevano dal comportamento: log delle righe di comando (evento 4688, Sysmon evento 1) centralizzati in un SIEM, baseline dell'uso normale, alert su catene di processi anomale, comandi offuscati e utenti fuori ruolo.
- Riducono lo spazio di manovra hardening, application allowlisting (AppLocker, WDAC), rimozione del software inutile, segmentazione e MFA resistente al phishing sugli account privilegiati.
Un attacco living off the land (LOTL) usa gli strumenti che il sistema operativo ha già, come PowerShell, certutil, WMI o cmd.exe, invece di portare malware proprio. I LOLBins (living off the land binaries) sono quei programmi legittimi e firmati. L'antivirus fatica a vederli perché il file è affidabile: cambia l'uso. Si rilevano dal comportamento, con log dettagliati, centralizzati e confrontati con ciò che è normale nella tua rete.
Di seguito: cosa sono, quali LOLBins compaiono più spesso, perché i controlli basati su firme li lasciano passare e come accorgersene. Non trovi istruzioni d'attacco: l'angolo è quello di chi gestisce la rete.
Cosa significa living off the land
Il riferimento più completo sul tema è la guida congiunta Identifying and Mitigating Living Off the Land Techniques, pubblicata il 7 febbraio 2024 da CISA, NSA e FBI insieme a Department of Energy, EPA e TSA statunitensi, all'Australian Cyber Security Centre, al Canadian Centre for Cyber Security e ai National Cyber Security Centre di Regno Unito e Nuova Zelanda.
La guida definisce il living off the land come l'abuso di strumenti e processi nativi dei sistemi, in particolare dei LOLBins, per confondersi con l'attività normale e operare con meno probabilità di essere rilevati o bloccati, perché quegli strumenti sono già installati e considerati affidabili. Le agenzie lo hanno osservato in ambienti on-premise, cloud e ibridi, su Windows, Linux e macOS. Su macOS si parla anche di living off the orchard e di LOOBins.
Il vantaggio per l'attaccante è doppio: non deve sviluppare strumenti suoi e lascia pochi indicatori convenzionali da inseguire. Le agenzie autrici riportano di aver visto attori sponsorizzati dagli Stati di Cina e Russia usare queste tecniche per entrare e restare a lungo nelle reti di infrastrutture critiche.
Da dove viene il nome
Secondo il progetto LOLBAS (Living Off The Land Binaries, Scripts and Libraries), l'espressione è stata coniata da Christopher Campbell e Matt Graeber alla conferenza DerbyCon 3. LOLBAS è il catalogo pubblico che la guida congiunta indica per Windows: per entrarci un file deve essere firmato da Microsoft, avere una funzione inattesa rispetto al suo scopo e risultare utile a un attaccante o a un red team. Per i sistemi Unix la guida rimanda a GTFOBins, per macOS a LOOBins.
I LOLBins più usati: alcuni esempi
L'appendice C della guida congiunta elenca i LOLBins osservati in attacchi reali, ciascuno con la tecnica corrispondente in MITRE ATT&CK. Sono quasi sempre strumenti che gli amministratori usano ogni giorno.
- PowerShell e cmd.exe: interpreti di comandi e script (MITRE T1059). MITRE ricorda che PowerShell può scaricare ed eseguire file da Internet anche solo in memoria, senza scrivere niente su disco.
- WMI e wmic.exe: l'infrastruttura di gestione di Windows, che permette di eseguire comandi su macchine locali e remote (T1047). MITRE riporta per esempio l'uso di WMIC da parte di Wizard Spider per distribuire ransomware, e segnala che wmic.exe è deprecato da gennaio 2024 e disattivato per impostazione predefinita da Windows 11 in poi, con PowerShell come interfaccia principale verso WMI.
- certutil.exe: nasce per gestire i certificati. Nella scheda LOLBAS risulta utilizzabile per scaricare file da Internet, nasconderli in un Alternate Data Stream e codificarli o decodificarli in Base64, con i soli privilegi di un utente normale. La guida lo cita, insieme a Ldifde.exe, fra gli strumenti per caricare, scaricare e offuscare file (T1105, Ingress Tool Transfer).
- mshta, rundll32, regsvr32, msiexec: binari firmati Microsoft che possono eseguire contenuti di altri file. MITRE li raccoglie nella tecnica T1218 (System Binary Proxy Execution), con 14 sotto-tecniche.
- ntdsutil.exe e vssadmin.exe: strumenti di amministrazione di Active Directory e delle copie shadow. La guida descrive un gruppo sponsorizzato da uno Stato che li ha combinati per copiare il database di Active Directory (ntds.dit) ed estrarne gli hash delle password, fino alla compromissione completa del dominio.
- netsh e PsExec: il primo modifica la configurazione di rete e del firewall, il secondo esegue comandi su host remoti. Nei casi descritti da CISA, netsh è servito a inoltrare traffico verso un server di comando e controllo, PsExec a lanciare comandi su host remoti con privilegi SYSTEM.
La guida aggiunge gli strumenti di terze parti con privilegi elevati (accesso remoto e RMM, patch management, MDM), nati per eseguire comandi su tutti i client della rete, domain controller compresi.
Perché l'antivirus non li vede
Un antivirus tradizionale cerca file noti come malevoli: firme, hash, nomi. Con il living off the land non c'è un file malevolo da trovare, e le ragioni le spiegano le stesse fonti. La differenza con un EDR la spieghiamo in EDR vs antivirus.
Il file è legittimo e firmato
MITRE descrive la tecnica T1218 come un modo per aggirare le difese basate sui processi o sulle firme, facendo eseguire contenuto malevolo a binari firmati e affidabili, spesso firmati da Microsoft. La guida congiunta aggiunge che i LOLBins hanno attributi affidabili, come hash e firme digitali, e che questo può far credere ai difensori che siano sicuri per chiunque.
Gli indicatori si cambiano facilmente
Secondo la guida, il living off the land produce pochi indicatori di compromissione (IOC) convenzionali, e quelli che produce si modificano con poco sforzo: nomi di file, percorsi, argomenti della riga di comando. L'esempio riportato è ntdsutil, che accetta la stessa istruzione anche in forma abbreviata. Una regola scritta sulla stringa esatta non scatta più.
EDR non tarati e regole troppo larghe
La guida è esplicita: queste tecniche possono non far scattare gli EDR, perché alcuni vendor considerano sicuri i LOLBins o perché gli amministratori, per non vedersi bloccare i propri strumenti, chiedono configurazioni che li consentono. I red team di CISA trovano spesso LOLBins accessibili a tutti gli utenti, anche a quelli standard, ed eccezioni molto ampie per PsExec. Sempre secondo CISA, i red team usano di frequente tecniche living off the land note per eseguire codice, restare nella rete, muoversi lateralmente e rubare credenziali, e i difensori raramente se ne accorgono.
Log di default e silos
L'ultimo motivo è organizzativo. Secondo le agenzie, chi difende la rete lavora spesso separato dai team IT, tiene il logging di default, che non registra abbastanza dettagli, e fatica a trovare poca attività malevola in grandi volumi di log. Senza una baseline di cosa fanno di solito utenti e amministratori, distinguere l'abuso dall'uso normale è molto difficile.
Come si rilevano gli attacchi living off the land
La guida lo dice in modo netto: non esiste un modo infallibile per prevenire o rilevare del tutto il living off the land. Esiste però un insieme di pratiche che, applicate insieme, rendono l'abuso visibile. Il principio è spostare l'attenzione dal file al comportamento: chi esegue lo strumento, da dove, con quali argomenti, dopo quale processo e a che ora.
1. Log dettagliati e centralizzati
La prima raccomandazione è attivare un logging ampio e dettagliato e raccogliere i log in un archivio centralizzato, separato dai sistemi monitorati e non modificabile dall'attaccante. Per Windows la guida indica di registrare le righe di comando, l'attività di PowerShell e il tracciamento degli eventi WMI. Due fonti tornano in tutti gli esempi:
- evento di sicurezza 4688 e Sysmon evento 1, che registrano la creazione dei processi con gli argomenti della riga di comando;
- gli altri eventi Sysmon, per connessioni di rete, modifiche al registro e creazione di file.
La guida consiglia un SIEM per aggregare i log, anche perché alcuni attaccanti cancellano o modificano i log locali, e chiede di verificare con regolarità che gli eventi arrivino davvero e che gli alert scattino.
2. Una baseline di cosa è normale
Il secondo passo è costruire e mantenere una baseline: strumenti installati, comportamento degli account, traffico di rete. Per gli account privilegiati la guida chiede di sapere quali strumenti usano gli amministratori, quali comandi lanciano, in quali orari e su quali macchine. Per i LOLBins chiede di capire come vengono usati normalmente in azienda (magari sempre con la stessa riga di comando o dallo stesso utente) e di creare alert quando l'uso esce da quel perimetro.
3. I segnali da cercare
Fra gli indicatori comportamentali che la guida suggerisce di monitorare:
- catene di processi anomale: Word o Excel che avviano cmd.exe, PowerShell, wscript.exe o cscript.exe, soprattutto se poi eseguono comandi di ricognizione come whoami o net;
- offuscamento della riga di comando: caratteri di escape, concatenazioni, uso eccessivo di variabili d'ambiente, comandi PowerShell codificati in Base64;
- binari rinominati: il campo OriginalFileName dell'intestazione del file permette di riconoscere, per esempio, net.exe rinominato in altro modo;
- utenti fuori ruolo: un utente non tecnico, ricorda la guida, di norma non apre mai un prompt dei comandi per lanciare ipconfig, un account compromesso sì;
- strumenti sensibili in contesti insoliti: ntdsutil che crea uno snapshot di Active Directory, PsExec lanciato con privilegi SYSTEM, accessi a file come ntds.dit.
Per T1218, la strategia di rilevamento di MITRE parte da binari firmati come rundll32.exe, msiexec.exe o regsvr32.exe che eseguono contenuti ospitati all'esterno, non firmati o sospetti. Anche il catalogo LOLBAS, in schede come quella di certutil, collega regole di rilevamento pubbliche (Sigma, Elastic, Splunk) e indicatori come i file creati da certutil o gli user agent che usa quando scarica.
4. Meno rumore, analisi del comportamento
Le ultime due raccomandazioni di rilevamento riguardano la qualità degli alert: evitare regole troppo generiche, ridurre insieme ai team IT il numero di strumenti di amministrazione ammessi, e usare la user and entity behavior analytics (UEBA) per correlare attività da più fonti. La guida suggerisce anche di indicare nel nome di ogni alert la fase MITRE ATT&CK, per accelerare il triage: lo stesso ragionamento per fasi della cyber kill chain.
Come si riduce lo spazio di manovra
Le stesse fonti indicano anche gli interventi di configurazione. Le agenzie avvertono che i LOLBins non vanno bloccati in modo indiscriminato, perché servono agli amministratori: vanno ristretti a chi li usa davvero e sorvegliati.
- Hardening secondo le guide dei vendor. Baseline di sicurezza di Microsoft o benchmark CIS, servizi superflui disattivati, nessuna fiducia nelle configurazioni di default. Lo trovi approfondito nella guida all'hardening dei sistemi.
- Application allowlisting. La guida indica AppLocker e Windows Defender Application Control su Windows, con regole per ruolo aziendale. MITRE, per T1218 e T1047, suggerisce di bloccare con il controllo delle applicazioni i binari che non servono su un dato sistema.
- Togliere ciò che non serve. Disinstallare il software non necessario e tenere un solo strumento di accesso remoto più uno di riserva, così uno non approvato salta all'occhio.
- Segmentazione della rete. Limita il movimento laterale e fa emergere traffico anomalo fra segmenti, anche quando sugli host non si è visto niente.
- Controlli sulle identità. MFA resistente al phishing, soprattutto sugli account privilegiati, accessi privilegiati a tempo, postazioni dedicate per gli amministratori di Active Directory. Il furto di credenziali è spesso il passo successivo: un esempio è il Kerberoasting. Ne parliamo anche in pass the hash: come si rileva e come si previene.
Cosa significa per un'azienda mid-market
Un EDR resta necessario, ma un EDR non tarato e con eccezioni larghe può non dire niente. Servono tre cose che di solito mancano: log con le righe di comando attivi su server e postazioni, una baseline di cosa fanno gli amministratori, e qualcuno che guardi gli alert ogni giorno e sappia distinguere un IT manager al lavoro da un attaccante che lo imita.
Una domanda utile per partire: se domani qualcuno usasse certutil per scaricare un file su un server, chi se ne accorgerebbe, e dopo quanto? Se la risposta non è chiara, il lavoro da fare è su log e monitoraggio prima che sugli strumenti. Il quadro più ampio è nella panoramica sulle minacce informatiche.
In sintesi: gli attacchi living off the land usano strumenti legittimi come PowerShell, certutil e WMI. L'antivirus non li ferma perché il file è affidabile e gli indicatori si cambiano facilmente. Funzionano log dettagliati e centralizzati, una baseline del comportamento normale, alert sulle deviazioni, allowlisting e privilegi minimi.
Se vuoi capire quanto della tua rete è visibile oggi a chi monitora, trovi come lavoriamo nella pagina cybersecurity.