Technique d'attaque qui détourne des outils et fonctionnalités légitimes du système d'exploitation pour progresser dans un réseau, sans déposer de logiciel malveillant détectable.
Le living off the land désigne une famille de tactiques offensives dans lesquelles l'attaquant évite de télécharger des outils malveillants sur la cible et se contente d'abuser de binaires, de scripts et de fonctionnalités déjà présents dans le système, tels que PowerShell, WMI, certutil ou PsExec sous Windows. Cette approche contourne efficacement les antivirus et les EDR basés sur la signature, puisque les processus exécutés sont des exécutables signés par l'éditeur du système d'exploitation. Les groupes APT et certains opérateurs de ransomware ont largement adopté cette méthode pour prolonger la phase de reconnaissance et de mouvement latéral avant le déclenchement visible de l'attaque. Pour les équipes défensives, la détection nécessite une analyse comportementale fine plutôt qu'une simple corrélation de signatures. Pour les assureurs cyber, les attaques LotL allongent considérablement le temps de séjour moyen de l'attaquant dans le réseau, ce qui augmente la sévérité potentielle du sinistre, notamment en matière d'exfiltration de données et de perte d'exploitation.
Lors d'un sinistre couvert par une police cyber, l'analyse forensique révèle que l'attaquant a passé six semaines dans le réseau sans déposer un seul fichier malveillant, utilisant uniquement PowerShell et WMI pour se déplacer. Le SOC n'a détecté l'incident qu'au moment du déploiement du ransomware. La durée de présence non détectée accroît le périmètre de données compromises et triple l'estimation de sinistre.
LotL, LOtL, attaque sans fichier, fileless attack, utilisation d'outils légitimes