living off the land (LotL)

Living off the land (LotL) to sposób prowadzenia ataku przy użyciu legalnych narzędzi i procesów, które już są w atakowanym środowisku ^[1]. Atakujący nie wgrywa własnego programu, tylko korzysta z tego, co zainstalował administrator albo producent systemu: powłoki, narzędzi administracyjnych, interpreterów skryptów. Dzięki temu jego działania wyglądają jak zwykła praca administratora. Polskie źródła opisują LotL jako wykorzystanie „naturalnych zasobów” systemu operacyjnego, czyli wbudowanych w niego narzędzi ^[6].

Jak działa

LotL nie jest jednym narzędziem, tylko sposobem działania na etapie po uzyskaniu dostępu. Atakujący, który ma już konto albo powłokę na maszynie, używa programów systemowych do rozpoznania, kradzieży danych uwierzytelniających, utrzymania dostępu i przemieszczania się po sieci, czyli lateral movement. CISA opisuje działania grupy Volt Typhoon jako pracę „ręcznie przy klawiaturze” z wiersza poleceń i innymi natywnymi narzędziami ^[2].

RYS. 1Atak w stylu living off the land

Technika bliska LotL w katalogu MITRE ATT&CK to T1218, czyli wykonywanie złośliwej treści za pośrednictwem podpisanych lub w inny sposób zaufanych plików systemowych, żeby ominąć zabezpieczenia oparte na procesach lub sygnaturach ^[5]. Z tego powodu LotL często łączy się ze złośliwym oprogramowaniem bezplikowym (fileless malware), które działa w pamięci i nie zostawia na dysku typowego pliku ^[6].

Narzędzia i katalogi

Obrońcy i badacze prowadzą publiczne katalogi programów, które można nadużyć. Nie są to listy podatności: same programy są legalne i działają zgodnie z dokumentacją.

LOLBAS klasyfikuje wpisy według funkcji, takich jak wykonanie polecenia, pobieranie i wysyłanie plików, obejście UAC czy obejście listy dozwolonych aplikacji ^[3]. GTFOBins grupuje programy według możliwości: uruchomienie powłoki, odczyt i zapis plików, pobieranie, wysyłanie, eskalacja uprawnień ^[4]. Autorzy GTFOBins zaznaczają, że nie jest to lista exploitów, a opisane programy same w sobie nie są podatne ^[4].

Kapitan Hack wymienia jako popularne narzędzia LotL w Windows PowerShell, skrypty VB, WMI i PsExec i podaje, że do takiego użycia nadaje się ponad sto narzędzi systemowych ^[6].

W WordPressie

WordPress najczęściej działa na serwerze z Linuksem, a więc w środowisku, które opisuje GTFOBins. Gdy atakujący uzyska wykonanie poleceń na serwerze, na przykład przez webshell wgrany dzięki podatności we wtyczce, może dalej korzystać z programów już zainstalowanych w systemie zamiast własnych narzędzi. GTFOBins dokumentuje, że typowe programy uniksowe potrafią pobierać i wysyłać pliki, uruchamiać powłokę i czytać pliki ^[4]. Dla skanera szukającego obcych plików taka aktywność jest niewidoczna, bo nie powstaje żaden nowy program.

Sam WordPress ma też własne wbudowane narzędzie, które atakujący może wykorzystać po przejęciu konta administratora: edytor plików motywów i wtyczek. Pozwala on zmienić kod PHP bez wgrywania czegokolwiek. Dokumentacja WordPressa podaje, że stała DISALLOW_FILE_EDIT w wp-config.php odbiera wszystkim użytkownikom uprawnienia edit_themes, edit_plugins i edit_files ^[7].

define( 'DISALLOW_FILE_EDIT', true );

Zagrożenia i skutki

Główny problem to wykrywanie. CISA wskazuje, że wiele organizacji nie wdraża praktyk, które pozwalają wykryć LotL, więc technika pozostaje skuteczna przy niewielkich lub zerowych nakładach atakujących na narzędzia ^[1]. Aktywność atakującego trudno odróżnić od legalnej pracy nawet w dojrzałych środowiskach ^[1].

Skutkiem jest długi czas przebywania atakującego w sieci (dwell time). W przypadku Volt Typhoon CISA zaobserwowała ślady utrzymywania dostępu w niektórych sieciach ofiar przez co najmniej pięć lat ^[2]. Z tego samego powodu LotL jest typowy dla grup APT, którym zależy na długim, cichym dostępie.

Jak się bronić

Skoro narzędzia są legalne, nie da się ich po prostu zablokować sygnaturą. Obrona opiera się na widoczności i ograniczaniu tego, co wolno uruchomić.

• Logowanie i centralizacja. CISA zaleca szczegółowe logi aplikacji, bezpieczeństwa i dostępu zbierane centralnie w SIEM (Security Information and Event Management) ^[2].
• Linia bazowa. Ustalenie, jak wygląda normalne działanie systemu, pozwala zauważyć odstępstwa ^[2].
• Ograniczenie narzędzi. MITRE wśród środków przeciw T1218 wymienia wyłączenie lub usunięcie zbędnych funkcji i programów oraz blokowanie wykonania ^[5]. Kapitan Hack radzi wyłączyć PowerShell tam, gdzie nie jest potrzebny, i stosować listy dozwolonych aplikacji ^[6].
• Tożsamość. CISA zaleca uwierzytelnianie odporne na phishing i przechowywanie danych logowania w zabezpieczonych sejfach zamiast w systemie ^[2].
• Segmentacja. Podział sieci utrudnia przemieszczanie się po niej ^[6]; zob. segmentacja sieci.

Na serwerze WordPress odpowiednikiem tych zasad jest zasada najmniejszych uprawnień dla konta, na którym działa PHP, wyłączony edytor plików i przeglądanie logów. Dokumentacja WordPressa nazywa logi najlepszym przyjacielem przy ustalaniu, co dzieje się ze stroną ^[7].

Historia i przykłady

• 2017. Kapitan Hack podaje NotPetya jako przykład LotL: złośliwe oprogramowanie używało poleceń systemowych do uruchomienia narzędzia Mimikatz, a potem rozprzestrzeniało się przez PsExec i WMI ^[6].
• 7 lutego 2024. CISA, NSA i FBI wraz z partnerami z innych państw opublikowały wspólny poradnik o identyfikowaniu i ograniczaniu technik LotL ^[1]. Tego samego dnia CISA wydała ostrzeżenie AA24-038A o grupie Volt Typhoon, w którym używanie LotL nazwano znakiem rozpoznawczym jej działań ^[2]. Grupa korzystała m.in. z PowerShell, WMIC, vssadmin, ntdsutil i netsh ^[2].