Living Off The Land

Wat is Living Off The Land (LotL)?

Living Off The Land (LotL) is een aanvalstechniek waarbij een aanvaller geen eigen malware binnenbrengt, maar de legitieme tools, scripts en beheersoftware misbruikt die al op het systeem of in het netwerk van het slachtoffer aanwezig zijn. Omdat PowerShell, WMI, Remote Desktop en de eigen engineeringsoftware ook dagelijks door beheerders worden gebruikt, gaat het kwaadaardige gebruik op in normaal gedrag en omzeilt het veel detectie. De term werd in 2013 op de hackersconferentie DerbyCon gemunt door de beveiligingsonderzoekers Christopher Campbell en Matt Graeber.

In OT-omgevingen is LotL extra gevaarlijk: systemen hebben vaak zwakke Logging en Monitoring, beheertools staan op elk engineering station, en de eigen SCADA-software kan de installatie al rechtstreeks bedienen.

🧠 Waarom is LotL zo moeilijk te detecteren?

Klassieke beveiliging zoekt naar iets vreemds: een onbekend bestand, een bekende malwarehandtekening, een verdacht proces. Bij LotL is er niets vreemds. De aanvaller draait powershell.exe, wmic.exe of ntdsutil.exe, die door Microsoft zijn ondertekend en die antivirus en zelfs veel EDR-producten standaard vertrouwen.

Het gezamenlijke advies Identifying and Mitigating Living Off the Land Techniques van CISA, NSA, FBI en de cyberdiensten van onder meer het Verenigd Koninkrijk, Canada, Australië en Nieuw-Zeeland (februari 2024) concludeert dat veel organisaties, ook volwassen, niet kunnen onderscheiden tussen legitiem en kwaadaardig gebruik van deze tools. Dat komt vooral door ontbrekende of te beperkte logging en het ontbreken van een basislijn van normaal gedrag.

⚙️ Welke tools worden het vaakst misbruikt?

Het open project LOLBAS (Living Off The Land Binaries, Scripts and Libraries) houdt een catalogus bij van Windows-programma’s die aanvallers kunnen misbruiken, met de bijbehorende MITRE ATT&CK-technieken. Voor Linux en Unix bestaat het vergelijkbare GTFOBins.

Let op: PsExec is geen onderdeel van Windows maar een gratis te downloaden beheertool. Omdat veel beheerders en OT-leveranciers het gebruiken, valt het misbruik toch nauwelijks op.

🏭 Hoe ziet LotL eruit in OT-omgevingen?

In OT gaat LotL een stap verder dan Windows-tools. De krachtigste “ingebouwde tool” is daar de besturingssoftware zelf: SCADA-servers, HMI’s en engineering stations kunnen per definitie kleppen openen, onderbrekers schakelen en PLC-programma’s wijzigen. In MITRE ATT&CK for ICS valt dit onder technieken zoals Scripting (T0853) en System Binary Proxy Execution (T0894).

Het bekendste voorbeeld van LotL in kritieke infrastructuur is Volt Typhoon. Deze Chinese statelijke groep nestelt zich in netwerken van energie-, water-, telecom- en transportbedrijven en gebruikt daarbij vrijwel uitsluitend PowerShell, WMI, netsh en ntdsutil. Volgens het Amerikaanse advies AA24-038A van 7 februari 2024 had de groep in sommige netwerken al ten minste vijf jaar toegang zonder te zijn ontdekt.

🛡️ Welke maatregelen helpen tegen LotL?

Omdat u de tools niet kunt verwijderen zonder het beheer te breken, draait verdediging om beperken, vastleggen en afwijkingen herkennen.

🔧 Hoe pakt u LotL-detectie in OT stap voor stap aan?

1. Inventariseer - leg vast welke beheertools op welke systemen nodig zijn. Een engineering station heeft PowerShell misschien nodig, een HMI-client meestal niet.
2. Harden - verwijder of blokkeer overbodige tools en services via Group Policy, schakel oude PowerShell 2.0 uit en pas hardening-baselines toe. Gebruik Code Signing voor eigen scripts en houd patchmanagement bij.
3. Leg vast - zorg voor uitgebreide logging met voldoende bewaartijd, centraal opgeslagen zodat een aanvaller logs niet lokaal kan wissen. Het gezamenlijke advies Best practices for event logging and threat detection (augustus 2024) is hier specifiek voor geschreven.
4. Bepaal een basislijn - OT-netwerken zijn voorspelbaar: dezelfde hosts praten met dezelfde PLC’s. Juist daardoor valt een nieuwe RDP-sessie om drie uur ‘s nachts of een eerste ntdsutil-aanroep op. Gebruik anomaliedetectie om dit automatisch te signaleren.
5. Zoek actief - threat hunting op bekende LotL-patronen, zoals gecodeerde PowerShell-opdrachten (-EncodedCommand) of certutil met -urlcache.
6. Oefen de respons - neem LotL-scenario’s op in het incidentresponsplan: welke accounts blokkeert u, en hoe houdt u het proces draaiende terwijl u een engineering station isoleert?

In Nederland verplicht de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026 als invulling van NIS2, essentiële en belangrijke entiteiten tot passende maatregelen zoals logging, detectie en toegangsbeheer. Voor OT sluiten de eisen van IEC 62443 daarop aan, met name rond accountbeheer, het vastleggen van gebeurtenissen en het beperken van functionaliteit tot wat nodig is.

❓ Veelgestelde vragen

Waar staat LotL voor?

LotL staat voor Living Off The Land, letterlijk “leven van het land”. Een aanvaller gebruikt bij Living Off The Land wat al op het systeem aanwezig is, zoals PowerShell, WMI en RDP, in plaats van eigen malware mee te nemen. Bestanden die hiervoor geschikt zijn, heten ook wel LOLBins (Living Off The Land Binaries).

Waarom ziet antivirus LotL-aanvallen niet?

Antivirus zoekt vooral naar bekende kwaadaardige bestanden, en bij Living Off The Land zijn alle gebruikte programma’s legitiem en door Microsoft ondertekend. Detectie moet daarom kijken naar gedrag en context: wie start een tool, met welke parameters, op welk tijdstip en vanaf welk systeem.

Kan ik PowerShell niet gewoon uitschakelen?

PowerShell volledig blokkeren is op veel systemen mogelijk, maar beheertools en sommige OT-software hebben het nodig. Beter is PowerShell te beperken tot de systemen die het echt nodig hebben, Constrained Language Mode af te dwingen en Script Block Logging in te schakelen, zodat misbruik van PowerShell zichtbaar wordt.

Is LotL alleen een probleem voor Windows?

Nee, Living Off The Land komt ook voor op Linux, macOS, netwerkapparatuur en in cloudomgevingen, waar aanvallers standaardcommando’s en beheer-API’s misbruiken. In OT kan zelfs de eigen SCADA- of engineeringsoftware als LotL-tool dienen, zoals Sandworm in 2022 met MicroSCADA liet zien.

Welke dreigingsactoren gebruiken LotL?

Living Off The Land wordt vooral gebruikt door statelijke groepen zoals Volt Typhoon en Sandworm, maar ook door ransomware-bendes, die met PsExec, RDP en geplande taken hun malware over een netwerk verspreiden. De meeste gerichte aanvallen bevatten daardoor wel een LotL-fase.

Hoe begin ik met het detecteren van LotL in een OT-netwerk?

Begin met centrale logging van PowerShell, procesaanmaak en inlogpogingen op engineering stations, jump servers en domeincontrollers. Bepaal vervolgens een basislijn van normaal beheergedrag, zodat afwijkingen zoals nachtelijke RDP-sessies of nieuwe geplande taken direct opvallen.

📌 Samengevat

Living Off The Land-aanvallen zijn lastig te detecteren omdat ze niets “verdachts” installeren, maar de eigen beheertools en zelfs de SCADA-software van het slachtoffer misbruiken. Zeker in OT zijn beperkte beheerrechten, uitgebreide logging, een basislijn van normaal gedrag en bewustwording nodig om misbruik van ingebouwde tools tijdig te herkennen.