Terug naar overzicht

Living off the Land (LOTL)

Wat is Living off the Land (LOTL)?

Living off the Land (LOTL) is een aanvalstechniek waarbij hackers geen kwaadaardige software installeren, maar legitieme tools en programma's misbruiken die al op jouw systeem aanwezig zijn. Denk aan ingebouwde Windows-onderdelen zoals PowerShell, Windows Management Instrumentation (WMI) of PsExec. Omdat aanvallers gebruikmaken van vertrouwde software, blijven ze vaak lang onopgemerkt.

De naam verwijst naar het idee van "leven van het land": in plaats van eigen wapens mee te nemen, gebruiken aanvallers wat ze al ter plekke aantreffen. Voor jouw beveiliging maakt dit LOTL bijzonder lastig te herkennen.

Hoe werkt een LOTL-aanval?

Bij een LOTL-aanval maakt een hacker slim gebruik van tools die systeembeheerders dagelijks gebruiken. Deze programma's staan op een "witte lijst" en worden door beveiligingssoftware als betrouwbaar gezien. Zo kan een aanvaller commando's uitvoeren, data stelen of zich verder door het netwerk bewegen zonder alarm te slaan.

Een typische aanval verloopt vaak in enkele stappen:

1. De aanvaller krijgt toegang, bijvoorbeeld via een phishingmail of een gestolen wachtwoord.

2. Vervolgens gebruikt hij bestaande tools zoals PowerShell om verkenning uit te voeren.

3. Daarna verspreidt de aanvaller zich verder in het netwerk met legitieme beheertools.

4. Ten slotte worden gegevens verzameld en weggesluisd, zonder verdachte bestanden achter te laten.

Voorbeelden van misbruikte tools

Aanvallers hebben genoeg keuze aan ingebouwde programma's. De bekendste voorbeelden zijn:

• PowerShell: krachtig scripting-hulpmiddel voor Windows waarmee aanvallers commando's kunnen uitvoeren.

• WMI: beheert systemen op afstand en wordt gebruikt om processen te starten.

• PsExec: een legitieme tool om programma's op andere computers uit te voeren.

• Certutil en BITSAdmin: normaal bedoeld voor certificaten en downloads, maar geschikt om malware binnen te halen.

"Kijk niet alleen naar verdachte bestanden, maar juist naar verdacht gedrag. Als PowerShell plotseling verbinding maakt met een onbekend adres, is dat een veel sterker signaal dan een virusmelding."

Arno - Directeur van Cyber Cloud

Waarom is LOTL zo gevaarlijk?

LOTL-aanvallen zijn moeilijk te detecteren omdat er geen duidelijke malware wordt gebruikt. Traditionele antivirussoftware zoekt naar kwaadaardige bestanden, maar bij LOTL zijn de gebruikte tools volledig legitiem. Hierdoor kunnen aanvallers weken of zelfs maanden ongemerkt actief blijven.

In 2024 en 2025 zien we dat deze techniek steeds vaker wordt ingezet, onder andere door professionele hackersgroepen en bij ransomware-aanvallen. Juist daarom is het belangrijk om verdacht gedrag te monitoren in plaats van alleen te vertrouwen op bestandsscans.

Hoe bescherm je je tegen LOTL?

Goede bescherming begint met inzicht in wat normaal gedrag is binnen jouw netwerk. Beperk de rechten van gebruikers, schakel onnodige tools uit en houd logbestanden goed in de gaten. Ook helpt het om medewerkers bewust te maken van phishing, want dat is vaak het startpunt van een aanval. Met de juiste security awareness training verklein je die instap voor aanvallers aanzienlijk.

Wil je weten of jouw systemen kwetsbaar zijn voor dit soort technieken? Dan kun je jouw omgeving laten testen met een pentest, waarbij specialisten dezelfde methodes gebruiken als echte aanvallers.

Samenvatting

Living off the Land (LOTL) is een sluwe aanvalstechniek waarbij hackers legitieme, ingebouwde tools misbruiken om onder de radar te blijven. Omdat er geen klassieke malware aan te pas komt, is detectie lastig en is het monitoren van gedrag essentieel.

Wil je ontdekken hoe weerbaar jouw organisatie is tegen dit soort aanvallen? De specialisten van Cyber Cloud helpen je graag verder!