Представь: атакующий уже внутри сети. EDR молчит. Антивирус не видит угрозы. На диск не упало ни одного подозрительного файла. При этом LSASS уже дампится, а злоумышленник спокойно двигается по сети. Инструменты? Исключительно те, что Microsoft сама поставила с Windows.
Это не фантастика. По данным CrowdStrike Global Threat Report 2025, именно 79% всех зафиксированных атак в 2024 году обошлись без малвари. Для сравнения: в 2019-м таких атак было 40%. Bitdefender по анализу 700 000 инцидентов добавляет: 84% высокоприоритетных атак используют технику Living off the Land.
🔍 Что такое LOTL и почему это работает
Living off the Land — стратегия, при которой атакующий проходит весь kill chain исключительно легитимными системными инструментами. Никакого кастомного бэкдора, никакого RAT. Только подписанные Microsoft бинарники — LOLBins.
Почему это так эффективно? Три причины:
• Доверие по умолчанию —
certutil.exe, mshta.exe, rundll32.exe подписаны Microsoft, сидят в белых списках AppLocker и не вызывают срабатываний EPP.• Нет файловых IOC — хэши совпадают с легитимными. Сигнатурный анализ просто бессилен.
• Дёшево в поддержке — атакующему не нужно писать и поддерживать собственный инструментарий.
Проект LOLBAS на GitHub каталогизировал уже более 200 Windows-бинарников с задокументированным потенциалом злоупотребления.
⚙️ Реальный пример:
certutil в атаках 2025 годаВозьмём конкретный кейс. Группа Storm-2460 в 2025-м использовала
certutil.exe для загрузки вспомогательных компонентов на ранних стадиях кампании PipeMagic. Параллельно эксплуатировалась CVE-2025-29824 — Use After Free в драйвере Windows CLFS, CVSS 7.8 — для повышения привилегий. Цели: США, Испания, Венесуэла, Саудовская Аравия.Штатная утилита управления сертификатами умеет качать файлы из интернета (
-urlcache -split -f) и кодировать/декодировать Base64 (-encode / -decode). Именно это и эксплуатируют.🗺 Карта темы: где LOTL встречается в kill chain
LOTL — не отдельный трюк, а философия построения всей цепочки атаки. В MITRE ATT&CK ядро техники — T1218 System Binary Proxy Execution. Но реальная кампания покрывает куда больше:
1. Execution —
PowerShell, cmd.exe, WMI2. Lateral Movement — WMI, PSRemoting, DCOM
3. Credential Access — дамп LSASS через легитимные утилиты
4. Persistence — реестр, планировщик, COM-hijacking
5. Defense Evasion — обход AMSI, Defender, EDR
Каждый этап kill chain закрывается инструментами, которые уже стоят в системе. Именно поэтому классические средства защиты проигрывают — они ищут чужеродное, а здесь всё «своё».
Полный разбор команд, техник обхода EDR, BYOVD-атак и закрепления через COM-hijacking — в статье по ссылке ниже.
https://codeby.net/threads/living-off-the-land-ataki-windows-polnoye-rukovodstvo-po-lolbas-obkhodu-edr-i-post-ekspluatatsii-bez-storonnikh-instrumentov.92849/