Living off the Land (LOLBins)
Eine Angriffstechnik, bei der Angreifer legitime, bereits installierte Systemwerkzeuge (PowerShell, WMI, certutil, PsExec) statt eigener Schadbinärdateien nutzen — um sich zu tarnen und Erkennung zu umgehen. "Vom Land leben" bedeutet: das nutzen, was schon da ist.
Idee: Klassische Antivirensoftware sucht nach bekannten Schaddateien. Missbraucht man stattdessen legitime, eingebaute Werkzeuge ("LOLBins" — Living Off the Land Binaries), lässt sich die Aktivität kaum von normaler Administration unterscheiden: PowerShell zum Herunterladen und Ausführen von Code im Speicher, certutil zum Abrufen von Dateien, WMI für Persistenz und laterale Bewegung, rundll32/mshta zum Ausführen von Code. Es wird nichts Verdächtiges installiert, also versagt signaturbasierte Erkennung. Eng verwandt mit Fileless Malware, die vollständig im Speicher läuft und nichts auf der Festplatte hinterlässt. Verteidigung: verhaltensbasierte Erkennung — EDR, das beobachtet, was Prozesse TUN statt wie sie heißen —, PowerShell-Logging/Constrained Language Mode und Application Control. Die Website LOLBAS katalogisiert die Technik. Ein zentraler moderner Angriffstrend, eng verwandt mit Fileless Malware und Command-and-Control.