Living Off The Land

Définition

Le Living Off The Land (LotL) est une technique d'attaque dans laquelle un adversaire exploite exclusivement, ou majoritairement, des outils, exécutables et fonctionnalités déjà légitimement présents et signés par l'éditeur du système d'exploitation, plutôt que de déployer des malwares personnalisés et détectables par des signatures antivirus classiques, une approche qui complique considérablement la détection puisque l'activité observée provient en apparence d'outils système parfaitement légitimes et fréquemment utilisés à des fins administratives normales. Les binaires exploités à cette fin, désignés collectivement sous l'acronyme LOLBins (Living Off the Land Binaries), incluent des utilitaires natifs de Windows comme PowerShell, WMIC ou certutil, initialement conçus pour l'administration système, la gestion de certificats ou l'automatisation de tâches, mais détournés par un attaquant pour télécharger des charges malveillantes additionnelles, exfiltrer des données ou effectuer un mouvement latéral au sein du réseau, tout en échappant aux mécanismes de détection basés sur des signatures de fichiers connus comme malveillants. Cette technique, largement documentée et cartographiée dans le framework MITRE ATT&CK sous plusieurs tactiques distinctes, est fréquemment associée aux groupes d'attaquants avancés (APT) cherchant à maintenir une présence discrète et prolongée dans un environnement compromis. La défense contre le LotL repose davantage sur une détection comportementale contextuelle, EDR et surveillance des lignes de commande inhabituelles, que sur une simple détection par signature.