Die meisten Endpunkt-Sicherheitslösungen sind um eine einzige Frage herum gebaut: Ist diese Datei als schädlich bekannt? Signaturdatenbanken, Reputationsdienste und Threat-Intelligence-Feeds funktionieren alle, indem sie erkennen, was bösartig aussieht. Der blinde Fleck entsteht, wenn der Angriff gar keine Datei mitbringt, die sich melden ließe.
Statt eine eigene Schadlast abzulegen, nutzt der Angreifer, was bereits auf dem Rechner liegt: PowerShell, certutil, mshta, rundll32, WMI und Dutzende weitere integrierte Dienstprogramme. Alle sind von Microsoft signiert, und alle werden ständig für legitime Administration genutzt. Die Technik heißt Living off the Land, die Werkzeuge nennt man LOLBins.
CISA und ihre Partnerbehörden beschreiben Living off the Land als zunehmend verbreitet in der gesamten Bedrohungslage. Die meisten Teams wissen längst, dass sich diese Binärdateien missbrauchen lassen. Interessanter ist die Frage, warum Signaturscans, Reputationsprüfungen und selbst Application Allowlisting die Lücke nicht vollständig schließen, und welche Maßnahme sie wirklich verkleinert.
Warum „signiert und vertrauenswürdig“ so oft „einfach durchwinken“ heißt
Eine LOLBin rauscht an den beiden Prüfungen vorbei, auf die sich die meisten Abwehrmaßnahmen stützen. Sie ist nicht als schädlich bekannt, also lässt der Signaturabgleich sie passieren. Sie ist von Microsoft signiert und läuft millionenfach am Tag, also vertraut ihr die Reputationsbewertung.
MITRE ATT&CK katalogisiert diesen Missbrauch unter System Binary Proxy Execution: Angreifer schleusen bösartige Ausführung über signierte, vertrauenswürdige Binärdateien, um prozess- und signaturbasierte Abwehr zu umgehen. Die Datei selbst ist harmlos. Das Gefährliche steckt in der Anweisung, die sie zur Laufzeit erhält, und genau die bekommt eine statische Prüfung nie zu sehen.
Günstig ist der Ansatz obendrein. Die gemeinsame Handreichung der CISA hält fest, dass Living off the Land mit wenig bis gar keiner Investition in Werkzeuge wirksam bleibt, weil so viele Organisationen legitime Nutzung nicht von Missbrauch unterscheiden können. Es gibt keine Malware, die gebaut und gegen Erkennungs-Engines getestet werden müsste. Der Angreifer braucht lediglich Zugangsdaten und Werkzeuge, die ohnehin vorhanden sind.
Volt Typhoon zeigt, wie das in der Spitzenklasse aussieht. Als CISA, NSA und FBI die Kampagne gegen kritische Infrastruktur in den USA aufschlüsselten, beschrieben sie staatlich gesteuerte Akteure, die diese Techniken nutzten, um mit normaler Systemaktivität zu verschmelzen und Netzwerkabwehr zu umgehen. Ein dokumentierter Schritt nutzte netsh, einen legitimen Windows-Befehl, um Datenverkehr still auf Angreifer-Infrastruktur umzuleiten. Zu keinem Zeitpunkt landete eine Malware-Datei auf der Festplatte.
So entgehen LOLBins der Erkennung
Was LOLBins so beständig macht: Der Missbrauch sieht meist aus wie die normale Aufgabe des Tools, nur auf ein schädliches Ziel gerichtet. Einige gängige Muster:
- certutil verwaltet Zertifikate, kann aber auch Dateien aus dem Internet herunterladen und Base64 dekodieren. Damit lässt sich eine Schadlast bequem auf einen Rechner holen, ganz ohne Browser oder auffälligen Downloader.
- mshta führt HTML-Anwendungen aus und kann so Skripte starten, die in einer lokalen Datei oder unter einer URL liegen.
- rundll32 und regsvr32 laden Code aus Bibliotheken und führen ihn aus, sodass eine bösartige DLL oder ein Remote-Skript von einem Prozess gestartet wird, dem Windows voll vertraut.
- PowerShell kann Code vollständig im Arbeitsspeicher abrufen und ausführen und hinterlässt damit kaum etwas auf der Festplatte, das sich überhaupt scannen ließe.
In jedem dieser Fälle ist der übergeordnete Prozess vertrauenswürdig, die Binärdatei signiert, und die eigentliche Absicht steckt in der Befehlszeile. Darin liegt der Kern der Umgehung. Wer bösartige von legitimer Nutzung unterscheiden will, muss den Kontext betrachten (was das Tool aufgerufen hat, welche Argumente es erhielt, wohin es sich verbunden hat, ob dieses Muster für den Rechner normal ist) und nicht nur die Identität der Datei.
Die Erkennungsempfehlungen von MITRE setzen genau hier an: Verteidiger sollen jüngste Aufrufe signierter Binärdateien mit einer Historie bekannter, unbedenklicher Argumente vergleichen, um Auffälligkeiten zu erkennen, und diese dann mit anderem verdächtigem Verhalten abgleichen, um Fehlalarme zu reduzieren. Das ist machbar, bleibt aber ein Verhaltensproblem, und es verlangt Baselines, Protokollierung und Analysen, die viele Umgebungen schlicht nie aufgebaut haben. Deshalb geht so viel LOLBin-Aktivität unbemerkt durch.
Wo Allowlisting hilft und wo nicht
Application Allowlisting (auch Application Control genannt) gehört zu den stärksten vorbeugenden Kontrollen überhaupt. Statt Schädliches zu identifizieren, dreht es das Modell um: Nur freigegebene Software läuft, alles andere wird standardmäßig blockiert. Die maßgeschneiderte Schadlast eines Angreifers kommt nie zur Ausführung, weil sie nicht auf der Liste steht. Gegen nicht freigegebene Tools und eigens gebaute Malware ist das wirklich wirksam.
LOLBins entgehen dem, weil die missbrauchten Binärdateien zwangsläufig bereits auf der Allowlist stehen. PowerShell, rundll32 und WMI sind Kernkomponenten des Betriebssystems, auf die legitime Administration, Skripte und Software von Drittanbietern angewiesen sind, und lassen sich deshalb nicht auf allen Rechnern blockieren. Allowlisting trifft seine Entscheidung zudem, bevor die Binärdatei läuft, anhand von Signatur, Herausgeber oder Dateipfad. Die bösartige Schadlast kommt erst zur Laufzeit, geladen vom freigegebenen Tool, und das kann eine einfache Application Control ohne zusätzliche Ebenen wie Skript-Durchsetzung oder ASR-Regeln (Attack Surface Reduction) nicht prüfen.
Least Privilege: Den Schaden begrenzen, den ein vertrauenswürdiges Tool anrichten kann
Wenn sich die Binärdatei nicht zuverlässig blockieren und der Missbrauch nicht immer im Moment erkennen lässt, hilft eine andere Frage weiter: Wie viel kann ein Angreifer erreichen, wenn er ein vertrauenswürdiges Tool böswillig einsetzt?
Das hängt stark von den Rechten des Kontos ab, unter dem es läuft. Viele der folgenreichsten Aktionen, auf die Angreifer aus sind, erfordern Administratorrechte:
- Dienste oder geplante Aufgaben zur Persistenz installieren
- Sicherheitssoftware deaktivieren oder manipulieren
- Geschützte Systemeinstellungen und Registry-Einträge ändern
- Zugangsdaten aus geschütztem Speicher auslesen
- Sich mit erhöhten Rechten lateral bewegen
Eine LOLBin im Kontext eines Standardnutzers kann trotzdem Schaden anrichten, ihre Reichweite ist aber deutlich kleiner als die desselben Tools mit dauerhaften lokalen Adminrechten. Genau hier spielt Endpoint Privilege Management seine Stärke aus. Die Endpoint Privilege Management Lösung von Admin By Request entfernt dauerhafte lokale Administratorrechte und gewährt Rechteausweitung Just-in-Time: nur dann, wenn sie gebraucht wird, und nur für konkrete, freigegebene Aufgaben. Nehmen Sie dem Konto die Adminrechte, und eine missbrauchte Binärdatei erbt deutlich weniger, womit sie arbeiten kann.
Mehrere Ebenen statt Patentrezept
Living off the Land funktioniert, weil es Ihre eigenen vertrauenswürdigen Werkzeuge gegen Sie wendet, und keine einzelne Kontrolle lässt dieses Problem verschwinden. Realistisch ist eine Abwehr aus sich überlappenden Ebenen, von denen jede abdeckt, was die anderen übersehen:
- Verhaltenserkennung und gute Protokollierung geben Ihnen die Chance, den Missbrauch zu bemerken, indem sie die ungewöhnliche Befehlszeile oder die seltsame Eltern-Kind-Beziehung zwischen Prozessen melden, die ein Signaturscan ignoriert.
- Application Control verkleinert, was überhaupt laufen kann, auch wenn sie die Systembinärdateien selbst nicht blockieren kann.
- Least Privilege begrenzt, was eine missbrauchte Binärdatei nach dem Start erreichen kann, indem es die dauerhaften Adminrechte entfernt, auf die sich so viele schädliche Techniken stützen.
Entziehen Sie die dauerhaften Rechte, und Sie stoppen zwar nicht jede LOLBin-Technik, nehmen aber gerade den gefährlichsten viel von ihrer Schlagkraft. Ein realistisches Ziel ist eine kleinere Angriffsfläche und ein eng begrenzter Wirkungsradius für den Fall, dass doch etwas durchrutscht.
Wenn das Entfernen dauerhafter lokaler Adminrechte in Ihrer Umgebung nach einer sinnvollen zusätzlichen Ebene klingt, können Sie Admin By Request EPM in unserem Free Plan testen, der bis zu 25 Endpunkte mit vollem Funktionsumfang abdeckt, dauerhaft kostenlos.
Häufig gestellte Fragen
Was ist eine LOLBin?
Eine LOLBin (Living-off-the-Land-Binary) ist eine legitime, signierte ausführbare Datei, die bereits auf einem System vorhanden ist und die ein Angreifer für bösartige Aktivitäten missbraucht. Unter Windows gehören PowerShell, certutil, mshta, rundll32, regsvr32 und WMI zu den gängigen Beispielen. Weil die Binärdateien selbst vertrauenswürdig sind und mit dem Betriebssystem ausgeliefert werden, nutzen Angreifer sie, um Code auszuführen, Schadlasten herunterzuladen und sich durch ein Netzwerk zu bewegen, ohne eigene Malware mitzubringen.
Warum erkennen Antivirus- und EDR-Tools LOLBin-Angriffe nicht?
Klassische Antivirus- und reputationsbasierte Tools arbeiten, indem sie bekannte schädliche Dateien aufspüren. Eine LOLBin ist eine bekannte, unbedenkliche Datei, von Microsoft signiert und täglich legitim im Einsatz, also besteht sie diese Prüfungen. EDR-Tools, die Prozessverhalten beobachten, können einen Teil des Missbrauchs erkennen, allerdings nur mit Baselines und einer Protokollierung der Befehlszeilen, die ungewöhnliche Argumente oder Prozessketten sichtbar machen. Vielen Umgebungen fehlt das, weshalb so viel LOLBin-Aktivität unbemerkt bleibt.
Stoppt Application Allowlisting LOLBins?
Allein nicht. Allowlisting blockiert Software, die nicht auf der Freigabeliste steht, doch die Binärdateien, die Angreifer missbrauchen, sind aus betrieblicher Notwendigkeit meist längst freigegeben. PowerShell und WMI lassen sich nicht auf allen Windows-Rechnern blockieren, ohne legitime Arbeit lahmzulegen. Zudem entscheidet Allowlisting, bevor die Binärdatei läuft, während die bösartige Anweisung erst zur Laufzeit eintrifft. Als Kontrolle lohnt es sich weiterhin, diese spezielle Lücke schließt es aber nicht von allein.
Kann ich PowerShell einfach deaktivieren, um diese Angriffe zu stoppen?
In den meisten Umgebungen nicht. PowerShell wird von Administratoren, Skripten und Software zu breit genutzt, als dass eine komplette Entfernung praktikabel wäre. Mehr bringt es, die Ausführung einzuschränken: den PowerShell Constrained Language Mode aktivieren, signierte Skripte verlangen, vollständiges Script Block Logging einschalten und die dauerhaften lokalen Adminrechte entfernen, mit denen eine missbrauchte PowerShell-Sitzung echten Schaden anrichten kann.
Wie hilft das Entfernen lokaler Adminrechte, wenn die Binärdatei trotzdem läuft?
Die Binärdatei wird weiterhin ausgeführt, doch die meisten folgenreichen Angriffstechniken (Dienste zur Persistenz installieren, Sicherheitstools deaktivieren, Zugangsdaten auslesen, laterale Bewegung mit erhöhten Rechten) benötigen Administratorrechte. Eine LOLBin im Kontext eines Standardnutzers kann trotzdem Probleme verursachen, ihre Reichweite ist aber deutlich kleiner als die desselben Tools mit dauerhaften lokalen Adminrechten. Least Privilege verhindert den Missbrauch nicht, setzt ihm aber eine klare Obergrenze.
Ist das dasselbe Problem wie dateilose Malware?
Die beiden überschneiden sich stark, sind aber nicht identisch. Dateilose Malware bezeichnet Angriffe, die im Arbeitsspeicher ablaufen, statt ausführbare Dateien auf die Festplatte zu schreiben, häufig mithilfe vertrauenswürdiger Binärdateien wie PowerShell, um Code zu laden und auszuführen. Living off the Land ist weiter gefasst und umfasst jeden Missbrauch legitimer, integrierter Werkzeuge, auch Techniken, die durchaus auf die Festplatte schreiben. Die meisten dateilosen Angriffe sind Living-off-the-Land-Angriffe, aber nicht jede Living-off-the-Land-Technik ist dateilos.
Dieser Blog wurde ursprünglich auf Englisch auf unserer Website veröffentlicht. Das Original finden Sie hier.
