Living Off the Land: Wie Bedrohungsakteure Ihr System für den Datendiebstahl nutzen

Fast jeder fortgeschrittene Bedrohungsakteur hat Living off the Land (LotL)-Methoden in seine Angriffe integriert. LotL ist eine Angriffstrategie, bei der Cyberkriminelle bösartige Aktivitäten ausführen, indem sie legitime Tools und Funktionen ausnutzen, die bereits im System des anvisierten Opfers vorhanden sind. Der Ausdruck „vom Land leben“ bedeutet, mithilfe von Ressourcen in einer bestehenden Umgebung zu überleben. Wenn die Umgebung ein physisches Ökosystem wie ein Wald ist, bedeutet das, dass Sie sich von dem ernähren müssen, was Sie sammeln und anbauen können, usw. Wenn die Umgebung ein digitales Netzwerk ist, bedeutet das, dass ein Angriff mit den Binärdateien, Skripten und anderen Tools durchgeführt wird, die bereits in der digitalen Umgebung des Opfers aktiv sind. Der Begriff wurde im Jahr 2013 auf diese Methoden angewandt.

Herkömmliche Malware, dateilose Angriffe und LotL

Bevor wir ins Detail gehen, müssen wir den Unterschied zwischen traditioneller Malware, dateilosen Angriffen und LotL-Methoden verstehen.

Traditionelle Malware greift auf externe bösartige Dateien zurück, um sich über einen Computer oder ein Netzwerk zu verbreiten und die Systeme zu beschädigen. Nehmen wir als Beispiel die Ransomware WannaCry. WannaCry-Ransomware war der berüchtigte Kryptowurm, der in nur einem Tag über 230.000 Computer in 150 Ländern infizierte. Es hat auf Computer zugegriffen und die Kontrolle über Computer übernommen, die für die EternalBlue-Exploit anfällig waren. Nachdem sich WannaCry etabliert hatte, installierte er die Ransomware und nutzte den Host-Computer, um sich zu replizieren und andere anfällige Rechner zu infizieren.  Technisch gesehen hat WannaCry drei Malware-Bestandteile auf dem Rechner installiert.

Ein dateiloser Angriff ist einer, bei dem bösartiger Code direkt aus dem Speicher ausgeführt wird. Es werden dabei keine Dateien auf die Festplatte geschrieben und häufig Systemtools und Makros genutzt, um den Angriff durchzuführen. Dateilose Angriffe können LotL-Angriffe sein oder auch nicht, und diese Unterscheidung hängt von einer strengen Definition von LotL ab. Ein browserbasierter JavaScript-Angriff wie SocGholish ist dateilos, da er im Speicher des Browsers läuft und nicht auf die Festplatte schreibt. JavaScript ist jedoch kein Systemverwaltungstool, und die bösartigen Befehle werden normalerweise von einer externen Quelle wie einer infizierten Website eingeführt. Es gibt einige Grauzonen in diesem Bereich, aber es reicht zu wissen, dass einige dateilose Angriffe keine LotL-Angriffe sind.

LotL-Angriffe können diese beiden Angriffsarten kombinieren, indem sie Systemtools wie PowerShell mit Dateien verwenden, die zur verzögerten Ausführung auf die Festplatte geschrieben werden. Ein LotL-Angriff könnte zum Beispiel dadurch ausgelöst werden, dass jemand eine bösartige Datei öffnet, die zuvor bei einem früheren Angriff heruntergeladen oder abgelegt wurde.  

LotL wird häufig von Bedrohungsakteuren eingesetzt und ist nun in den meisten fortschrittlichen Angriffen enthalten.

Eine kurze Geschichte der LotL-Techniken

Living-off-the-Land ist nichts Neues. Obwohl die LotL-Terminologie damals noch nicht existierte, wird der Disk Operating System (DOS)-Virus „Frodo“ aus dem Jahr 1989 als einer der ersten angesehen, der LotL-Methoden nutzte, um unentdeckt zu bleiben, bis die Nutzlast aktiviert wurde. Nach dem Start war Frodo speicherresident und fing DOS-Interrupt-Aufrufe ab, um seine Anwesenheit zu verbergen. Der Code Red-Wurm von 2001 zielte mit Pufferüberlauf- und Denial-of-Service (DoS)-Angriffen auf Microsoft IIS-Server ab. Diese Malware nutzte CVE-2001-0500 aus und operierte vollständig im Speicher, ohne auf die Festplatte zu schreiben. Code Red hat Websites unkenntlich gemacht und die Netzwerkelektronik sowie die Websites mit übermäßigem Traffic verlangsamt.

Der 'SQL Slammer' von 2003, auch bekannt als „Sapphire Virus“, war ein Wurm, der sich über Port 1434 verbreitete und häufig auf Microsoft SQL Server 2000, Microsoft SWL-Client-Anwendungen und MSDE 2000-Systemen offen zu finden ist. Sobald ein System infiziert war, replizierte es den Wurm auf jeden anfälligen Computer, den es finden konnte. SQL Slammer erzeugte über 25.000 Infektionspakete pro Sekunde und infizierte innerhalb der ersten Stunde etwa 75.000 Systeme. SQL Slammer war der erste weit verbreitete dateilose LotL-Angriff.  

Seitdem haben die LotL-Angriffe rasant zugenommen. Fast jede neue Funktion, die zu Betriebssystemen hinzugefügt wurde, führte zu neuen Entwicklungen bei Cyberbedrohungen. Mit der Zeit entwickelten sich die LotL-Methoden so weit, dass sie eine eigene Terminologie erhielten:

• LOO – Living off the Orchard: Ein Verweis auf LotL-Angriffe, die auf macOS abzielen. Der „Orchard“ (Obstgarten) ist eine Anspielung auf das Apple-Logo.
• LOLBins – Living off the Land Binaries: Dieser Begriff wurde von dem Security-Forscher Oddvar Moe im Jahr 2018 eingeführt. LOLBins bezieht sich auf legitime System-Binärdateien, die für bösartige Zwecke ausgenutzt werden können. Gängige Beispiele:
  • Microsoft Windows: PowerShell, Rundll32, Regsvr32, Certutil, Bitsadmin.
  • MacOS: Curl, OpenSSL, Nscurl, Xattr, Launchctl
  • *nix: Curl, OpenSSL, Bash, Python, Nc (Netcat)
• LOLScripts – Living off the Land Scripts: Wie der Name sagt, bezieht sich dieser Begriff auf legitime Skripte und Skriptsprachen. Beispiele:
  • Microsoft Windows: PubPrn.vbs, CL_LoadAssembly.ps1, CL_Mut3exverifiers.ps1, Pester.bat, winrm.vbs
  • MacOS: osascript, bash, python, ruby, perl
  • *nix: bash, Python, Perl, Awk, Sed

Kombinieren wir dies nun mit den fünf wichtigsten Methoden, mit denen Bedrohungsakteure LotL-Methoden verwenden:

Welche Art von Bedrohungsakteur nutzt LotL?

LotL-Angriffe kommen häufig bei Ransomware und Spionage zum Einsatz, sind jedoch bei DDoS- oder Phishing-Angriffen normalerweise nicht anzutreffen. Sowohl Infostealer als auch Banking-Trojaner verwenden LotL, während Kryptowährungs-Wallet-Diebe dies nicht tun.  LotL ermöglicht es Bedrohungsakteuren, sich in normale Systemaktivitäten einzufügen, was die Erkennung des Angriffs erschwert, insbesondere in Abwesenheit von Bedrohungsintelligenz und anderen fortschrittlichen Security-Maßnahmen. Allerdings hat LotL auch seine Nachteile:

• Begrenzte Funktionalität: Benutzerdefinierte Malware kann mehr Flexibilität und Kontrolle über einen Angriff bieten als Systemtools, die für einen bestimmten Zweck entwickelt wurden.
• Umweltvariabilität: LotL-Methoden sind darauf angewiesen, dass die Umgebung des Opfers die richtigen Tools bereitstellt. Wenn die Umgebung nicht darüber verfügt, ist der Angriff nicht effektiv.
• Expertise der Angreifer: LotL-Angriffe erfordern ein Verständnis der Systemarchitektur und des Systemverhaltens.
• Geschwindigkeit vs. Tarnung: LotL-Angriffe erfordern Geduld, und viele Angreifer ziehen Geschwindigkeit und zusätzliche Funktionalität der starken Tarnung von LotL vor.
• Verbesserte Erkennung: Die Methoden zur Überwachung und Anomalieerkennung entwickeln sich schnell weiter. Bedrohungsakteure sind bereit, Methoden zu kombinieren und neue Ansätze auszuprobieren, um den Verteidigern einen Schritt voraus zu bleiben.

Kommen wir zurück zum Diebstahl von Kryptowährungs-Wallets. Dabei handelt es sich um Malware, die darauf ausgelegt ist, die für den Zugriff auf die Kryptos erforderlichen vertraulichen Daten zu ermitteln und zu extrahieren. Diese Daten umfassen private Schlüssel, Wallet-Dateien und manchmal sogar Passwörter oder Seed-Phrasen. Der Wallet-Dieb durchsucht gezielt infizierte Systeme nach Wallet-Daten und kopiert sowie exfiltriert diese Daten zurück auf das System des Angreifers. Der Angreifer versucht dann, auf die Wallet zuzugreifen oder Gelder daraus abzuziehen. Diese Malware muss schnell arbeiten, bevor ein Opfer den Angriff stören oder selbst das Geld aus der Wallet abziehen kann. Diese Malware zielt auf eine breite Palette von Systemen ab und folgt häufig einem umfassenderen Phishing- oder Malware-Angriff. Aus diesen Gründen sind LotL-Methoden nicht für Wallet-Stealer-Malware geeignet.

Schützen Sie sich vor LotL-Taktiken

Das Erkennen von LotL-Angriffen ist eine Herausforderung, da sie vertrauenswürdige Tools ausnutzen. Mit etwas Planung ist jedoch eine proaktive Abwehr möglich. Dies sollte Teil der Cybersecurity-Strategie von Unternehmen sein.

Mit Lösungen wie Barracuda Managed XDR werden Systeme auf Verhaltensanomalien und ungewöhnliche Netzwerkaktivität überwacht. Stellen Sie sicher, dass Ihre Systeme die Ausführung von Skripten und die Erstellung ungewöhnlicher Prozesse protokollieren. Beschränken Sie die Nutzung von hochrisikoreichen LOLBins und LOLScripts durch Whitelisting oder andere Maßnahmen. 

Pflegen Sie ein robustes Patch-Management-System und führen Sie regelmäßige Schwachstellenbewertungen durch.

Segmentieren Sie Netzwerke, um sensible Umgebungen zu isolieren und die Möglichkeiten für laterale Bewegungen einzuschränken. Bestimmen Sie den normalen Datenverkehr und die normale Netzwerkaktivität und konfigurieren Sie Sicherheitslösungen, um Abweichungen zu erkennen. Sorgen Sie für ein starkes Patch-Management und führen Sie regelmäßige Schwachstellen- und Risikoanalysen durch.

Es ist entscheidend, das Prinzip der geringsten Privilegien (PolP) einzusetzen und von allen Benutzern eine Multi-Faktor-Authentifizierung (MFA) verlangen. Konfigurieren Sie die Verhaltensanalyse und markieren Sie Aktivitäten, die auf ein ungewöhnliches Benutzerverhalten hinweisen könnten.

Barracuda kann helfen

Barracuda Managed XDR ist eine Plattform für erweiterte Sichtbarkeit, Erkennung und Reaktion (XDR), die von einem 24/7-Security Operations Center (SOC) unterstützt wird, das Kunden rund um die Uhr menschliche und KI-gestützte Dienste zur Erkennung, Analyse, Incident Response und Schadensbegrenzung von Bedrohungen bietet.