LotL-Angriffe erkennen und abwehren So funktionieren Living-off-the-Land-Attacken

Mithilfe von Living Off The Land (LotL)-Attacken führen Hacker Befehle auf einem infizierten System aus, ohne dass die Alarmglocken der Security-Tools läuten oder Spuren zurückbleiben. Welche Möglichkeiten der Erkennung bzw. wirksamer Gegenmaßnahmen gibt es?

In der IT-Welt bezieht sich „Living off the Land“ (LotL) auf das Verhalten von Hackern, die Tools oder Funktionen verwenden bzw. nachahmen, die bereits in der Zielumgebung der Opfer vorhanden sind. Mit dieser Infiltrationsstrategie können sie für lange Zeit unentdeckt in dieser Umgebung verweilen. Oftmals agieren sie dort wochen- oder sogar monatelang völlig unentdeckt und erhalten Zugriffe auf Daten aller Art.

Standard-Apps als Angriffsmittel

4 Tipps zur Bekämpfung von „Living-off-the-Land“-Angriffe

Innovative Tarnkappen-Angriffe

LotL-Angriffe unterscheiden sich von herkömmlicher Schadsoftware, da sie zur Ausführung eines Angriffsplans native Tools auf dem System eines Opfers anstelle von Signatur-Dateien verwenden. Dateilose Hacker-Attacken, bei denen nach einem Angriff keine ausführbaren Dateien oder Malware verbleiben, sind für Security-Tools, die auf bestimmte Malware-Skripte und -Dateien angewiesen sind, daher schwer zu erkennen.

Hacker, die LoTL verwenden, nutzen für ihre Angriffe auf dem System des Opfers Tools wie beispielsweise PowerShell, RDP oder Windows Management Instrumentation (WMI), die üblicherweise für Verwaltungsaufgaben verwendet werden. Eine weitere beliebte Strategie besteht darin, Tools herunterzuladen, die normalerweise nicht auf den Computern der User vorhanden sind, um ein System zun knacken. Hierzu zählen beispielsweise Credential Dumper und andere Schadsoftware.

PowerShell-Skripte als mögliche Gefahr für Windows

Cyber-Attacken via PowerShell verhindern

Einsatz vorhandener Tools für Angriffe

Mit dieser Vorgehensweise kann sich ein Hacker mithilfe anderer Methoden, wie etwa Phishing-Angriffen, Zugang zu einem Netzwerk verschaffen, ohne dass die üblichen Security-Tools den Vorgang detektieren. Zudem müssen Angreifer, die bereits vorhandene Tools verwenden, keine Tools erstellen, testen und einer Qualitätssicherung unterziehen.

Ferner müssen sie sich auch keine Gedanken über Kompatibilitäten, Abhängigkeiten etc. machen. Denn es würde für manche Hacker eine gewisse Herausforderung bedeuten, Programme zu erstellen, die so unauffällig sind, dass sie nicht erkannt werden, insbesondere wenn etwas auf Kernel-Ebene ausgeführt wird. Letztendlich ist es im Grunde billiger, zeitsparender und wesentlich effektiver, die vorhandenen Tools des Opfers zu verwenden.

LotL-Angriffe erkennen und abwehren

Der Einsatz von LotL-Techniken ermöglicht den Angreifern eine längere Präsenz in den Zielumgebungen. Kombiniert mit der geschickten Ausnutzung von Tools und Schwachstellen, erhöht sich die Schwierigkeit und Komplexität hinsichtlich der Abwehr gegen solche Bedrohungen. Infolgedessen sollten Organisationen ihre IT-Security-Strategien kontinuierlich anpassen und verbessern, um ihre kritischen Assets und Infrastrukturen wirksam zu schützen.

Evasion Tactics

Wie Hacker unsere Sicherheits­lösungen austricksen

Aus diesem Grunde empfiehlt sich der Einsatz von Automatisierung, maschinellem Lernen (ML) und Verhaltensanalysen, um die IT-Security zu verbessern. Mit der Einführung solcher Strategien können Organisationen aufkommende Bedrohungen in Echtzeit erkennen und neutralisieren. Beim Aufbau eines robusten IT-Security-Programms, das Hackern standhalten kann, sind nachfolgende Maßnahmen zu beachten:

• Sichtbarkeit: Ein IT-Security-Programm gewährleistet umfassende Sichtbarkeit in der gesamten digitalen Landschaft einer Organisation, einschließlich Netzwerkverkehr, Endpunktverhalten und User-Aktivitäten. Dadurch können Anomalien erkannt werden, die vom normalen Betrieb abweichen und häufig auf LotL-Angriffe hinweisen.

• Protokollierung: Eine detaillierte Protokollierung ist darauf ausgelegt, die Verwendung von LotL-Tools, einschließlich der in Betriebssysteme eingebetteten Tools wie PowerShell-Skripting, akribisch zu verfolgen. Auf diese Weise ist es möglich, dass Organisationen detaillierte Einblicke in die Ausführungsmuster und Befehlssequenzen dieser Tools gewinnen und sich so ein klareres Bild potenziell bösartiger Aktivitäten machen können.

• Erweiterte Tools: Diese Tools gewähren eine umfassende Transparenz bezüglich der granularen Aktivitäten, die an Endpunkten stattfinden, und gehen über die einfache Protokoll-Analyse hinaus, indem sie Verhaltensanalysen und die Erkennung von Anomalien beinhalten. Solche Tools sind von entscheidender Bedeutung, um verdächtiges Verhalten zu identifizieren und darauf schnellstens zu reagieren, das auf anhaltende LotL-Aktivitäten hinweisen könnte.

Neue Angriffstechniken der Cyberkriminellen

Neue Wege für eine erfolgreiche Malware-Infektion

• Verhaltensanalysen: Diese Tools können typische User- und Entitätsaktivitäten über einen bestimmten Zeitraum analysieren und eine Basislinie erstellen, die eine Grundlage für die Erkennung von Abweichungen vom normalen Verhalten bietet. Dies leistet eine wertvolle zusätzliche Dimension der Transparenz, die es ermöglicht, Verhaltensabweichungen mit anderen Indikatoren für Gefährdungen zu korrelieren.

• Überprüfung der Erkennungen: IT-Security ist kein einmaliges Projekt, sondern vielmehr ein fortlaufender Prozess zur Risikoreduzierung. Die Feinabstimmung der Erkennungsfunktionen basierend auf der Umgebung und der Risikobereitschaft stellt ein wichtiger Schutz gegen sich ständig weiterentwickelnde Bedrohungen und zunehmend heimtückische Taktiken dar.

• Zero-Trust-Architektur: In einer Zero-Trust-Architektur wird jede Zugriffsanforderung gründlich überprüft, bevor ein Zugriff gewährt wird. Dieser Ansatz unterstützt Organisationen dabei, die Angriffsfläche zu minimieren, indem strenge Zugriffskontrollen durchgesetzt und Netzwerke segmentiert werden. Dadurch schränkt sich die Bewegungsfreiheit eines Hackers innerhalb des Systems wesentlich ein.

Fazit

Eine proaktive Haltung im Hinblick auf LotL-Angriffe ist unerlässlich, da es darum geht, kritische Infrastrukturen zu schützen und sensible Daten vor den Fängen von Hacker zu schützen. Organisationen sollten daher potentiellen Angreifern immer einen Schritt voraus zu sein, indem sie fortschrittliche Erkennungstools wie beispielsweise eine Zero-Trust-Architektur integrieren.

Video-Tipp #55: Mehr Sicherheit mit und trotz PowerShell

PowerShell Security Best Practices

(ID:50224913)