Los ciberataques sin malware, también conocidos como ataques malwareless, pueden aprovechar herramientas legítimas ya disponibles en los sistemas para realizar actividades maliciosas. Las técnicas Living off the Land plantean un reto de detección porque recurren a recursos utilizados habitualmente por los equipos de IT, como PowerShell, WMI, Certutil, BITS, Bash o SSH. Frente a este escenario, la ciberseguridad evoluciona hacia modelos que complementan las firmas y los patrones con mayor visibilidad, contexto y análisis del comportamiento. Tecnologías como EDR, XDR, SIEM y UEBA, junto con principios como Zero Trust, contribuyen a este enfoque. La protección también requiere políticas adecuadas, una correcta configuración, gestión de privilegios y procedimientos eficaces de monitorización y respuesta.
Los ataques Living off the Land utilizan herramientas legítimas disponibles en los sistemas, por lo que su detección requiere analizar no solo qué se ejecuta, sino también su contexto y comportamiento.
Durante muchos años hemos estado acostumbrados a basarnos en un hecho: para infectar un sistema era necesario transmitir e inyectar en este un malware. Ya fuera un archivo ejecutable, un documento con macros o un script, entre otros, teníamos una “base” maliciosa desde donde el atacante infectaba el sistema. Así, si este elemento malicioso coincidía con una firma conocida o se comportaba de manera extraña, las alarmas de nuestro búnker sonaban y la amenaza podía ser detectada y neutralizada.
Sin embargo, este ya no es el único escenario posible.
Entre las técnicas utilizadas en determinados ciberataques se encuentran los enfoques malwareless. Es decir, ya no siempre es necesario hacer llegar un archivo malicioso al equipo víctima. En su lugar, pueden utilizarse las propias herramientas del sistema operativo para realizar actividades maliciosas.
De esta forma nace el reto en ambos frentes: en el ataque y en la defensa. La amenaza ya no tiene que confeccionarse necesariamente fuera para transmitirse después al equipo, sino que puede aprovechar la potencia de las herramientas nativas como brazo ejecutor para causar daños. Desde el punto de vista de la protección, esto supone un reto, pues son herramientas legítimas cuyo bloqueo generalizado puede no resultar viable en determinados entornos debido a su utilización en tareas habituales de administración.
¿Qué es Living off the Land en ciberseguridad y cómo funciona?
Bajo este escenario es importante familiarizarse con el concepto de ciberseguridad Living off the Land. El término significa “vivir de la tierra” y procede del ámbito de la supervivencia, donde se vive únicamente de los recursos disponibles en el propio entorno. El concepto encaja con lo descrito, ya que el atacante puede recurrir a los recursos que ofrece de forma nativa el sistema operativo.
Centrándonos en la ciberseguridad y siendo más técnicos, los ejecutables legítimos que se emplean para estos fines se conocen como LOLBins (Living off the Land Binaries) o LOLBas (Living off the Land Binaries and Scripts), incluyendo en este último concepto scripts y librerías del sistema.
¿Qué herramientas legítimas pueden aprovecharse en ataques Living off the Land?
Hablamos de herramientas nativas del sistema y de ataques que no dependen necesariamente de malware convencional, pero todavía no les hemos puesto “nombre y apellidos”. Entre las herramientas que pueden ser aprovechadas por los ciberdelincuentes encontramos recursos que, para el equipo de IT, son básicos en su actividad diaria:
- PowerShell: Es la estrella de la fiesta, aquella con la que todos quieren bailar. Tiene un potencial enorme, pues prácticamente puede manejar un entorno Windows al completo. Para el equipo de IT es la solución a muchos problemas; un atacante puede intentar utilizarla para cargar código en memoria, realizar tareas de reconocimiento de la red o descargar payloads, entre otras acciones.
- WMI y wmic: Se trata de utilidades muy útiles para un administrador, pues permiten gestionar componentes de manera remota. También pueden ser utilizadas de forma maliciosa para intentar desplazarse lateralmente por una red.
- Certutil: Es una herramienta para la gestión de certificados digitales y autoridades de certificación. Cuenta con parámetros que pueden permitir la descarga de archivos remotos, una capacidad que podría utilizarse con fines maliciosos.
- BITS: Es un servicio de transferencia de Windows utilizado, por ejemplo, para descargar actualizaciones en segundo plano. También puede ser aprovechado de manera indebida para transferir información.
- Bash, SSH y utilidades de Linux/Unix: A la fiesta no solo está invitado el universo Windows. En sistemas Linux existen múltiples herramientas, como curl, wget o nc, que también pueden emplearse con fines maliciosos.
¿Por qué los ataques Living off the Land plantean un reto para las defensas tradicionales?
Las técnicas Living off the Land presentan características que pueden dificultar su detección mediante enfoques de seguridad centrados principalmente en la identificación de archivos maliciosos:
- Evasión de determinadas defensas. Estas técnicas pueden aprovechar la confianza asociada a herramientas legítimas del sistema. Soluciones como PowerShell o Certutil están firmadas digitalmente por Microsoft. Su carácter legítimo puede dificultar la identificación de determinadas actividades maliciosas mediante enfoques centrados principalmente en firmas.
- Camuflaje entre la actividad habitual. Herramientas como PowerShell o WMI pueden ejecutarse miles de veces al día en el parque tecnológico de una empresa. Distinguir una ejecución legítima de otra potencialmente maliciosa puede resultar especialmente complejo cuando estas herramientas tienen un uso habitual e intensivo.
- Reducción del desarrollo necesario. Crear malware capaz de eludir controles, establecer persistencia, cifrar datos o extraer información puede requerir un esfuerzo considerable. Mediante LotL, el atacante trata de aprovechar herramientas que ya se encuentran dentro del equipo y utilizarlas con fines distintos a aquellos para los que fueron diseñadas.
¿Por qué los ciberataques sin malware desafían a la seguridad tradicional?
Uno de los problemas a los que se enfrentan determinados enfoques tradicionales es que pueden disponer de menos contexto para analizar las acciones realizadas mediante herramientas legítimas. Durante décadas, buena parte de la seguridad se ha apoyado en firmas y patrones. Si un software estaba firmado digitalmente por una fuente legítima y correspondía a una solución permitida, su ejecución podía no considerarse sospechosa por sí misma.
Por otra parte, bloquear de forma generalizada las herramientas administrativas anteriormente mencionadas puede no resultar viable, ya que son soluciones básicas en la actividad diaria de muchos equipos de IT.
Por ello, el defensor se encuentra ante un dilema: los enfoques antimalware centrados principalmente en firmas pueden disponer de menos contexto para identificar este tipo de actividad, mientras que restringir todas las herramientas legítimas podría afectar a las operaciones habituales.
Entonces, ¿cómo nos protegemos? ¿Qué enfoques existen? Para afrontar este desafío es necesario disponer de más información sobre los eventos: no solo conocer la herramienta utilizada, sino también las acciones realizadas, quién las lleva a cabo, en qué momento y dentro de qué contexto. Es decir, la arquitectura de seguridad y sus soluciones tienen que evolucionar.
¿Cómo ayudan la visibilidad, el contexto y el comportamiento a detectar amenazas?
La ciberseguridad moderna puede apoyarse en tres conceptos esenciales: visibilidad, contexto y comportamiento. La defensa evoluciona así desde enfoques principalmente estáticos hacia una seguridad más dinámica, capaz de analizar con mayor profundidad lo que ocurre en cada momento.
La búsqueda de patrones y las firmas continúan siendo mecanismos relevantes, pero pueden necesitar complementarse con mayor visibilidad, correlación de información y técnicas basadas en comportamiento.
¿Qué papel desempeñan EDR y XDR en la detección de ataques Living off the Land?
La primera línea de defensa se basa en comprender lo que está ocurriendo en el sistema con un nivel elevado de detalle. En este contexto aparecen las soluciones EDR.
Este tipo de herramientas dan un paso más allá de los sistemas antimalware basados principalmente en firmas, ya que pueden monitorizar y registrar actividad del equipo para obtener telemetría. De esta forma, cuando se ejecuta un proceso como “powershell.exe”, el EDR puede recopilar información sobre qué proceso lo ha iniciado, qué acciones realiza y qué subprocesos crea.
Este nivel de telemetría puede ayudar a identificar comportamientos anómalos asociados al proceso y facilitar la generación de alertas o la aplicación de medidas de respuesta, según las capacidades y la configuración de la solución.
Como ampliación de este modelo disponemos de las soluciones XDR. Estas pueden integrar información procedente de distintos ámbitos, como los dispositivos, la red, la nube, el correo o la identidad. Dependiendo de sus capacidades e integraciones, pueden facilitar acciones coordinadas de respuesta en diferentes componentes de la arquitectura de seguridad.
Todo se basa en la telemetría y en disponer de información detallada con la que interpretar lo que está ocurriendo.
¿Cómo utilizan SIEM y UEBA el contexto para detectar comportamientos anómalos?
Obtener la telemetría de miles de equipos mediante sistemas EDR puede generar millones de eventos difíciles de gestionar. Por ello, puede resultar importante incorporar al entorno un SIEM con capacidades de UEBA.
¿Y esto qué es? El SIEM es un sistema diseñado para centralizar y tratar grandes volúmenes de información. Así, es posible diseñar diferentes casos de uso para que, al identificarse un patrón determinado, se genere una alerta.
Por su parte, las capacidades UEBA pueden analizar patrones de comportamiento de usuarios y dispositivos y ayudar a identificar actividades que se apartan de los patrones considerados habituales.
Esto quizá es un poco complejo, así que es mejor verlo con un ejemplo. Imaginemos que un usuario del área de Contabilidad ejecuta “powershell.exe” a las 3:00 de la madrugada. A su vez, se observan conexiones a otro servidor de la organización realizadas por ese mismo usuario a la misma hora. El proceso es legítimo y en las conexiones tampoco se detecta, de forma aislada, una señal necesariamente maliciosa. Sin embargo, ese comportamiento puede no formar parte del patrón habitual de dicho usuario.
Aunque cada acción por separado pueda parecer legítima, una herramienta de análisis del comportamiento podría generar una alerta teniendo en cuenta el contexto completo y la combinación de actividades observadas.
¿Qué aporta el modelo Zero Trust frente a este tipo de ciberataques?
Un modelo que reúne muchas de las medidas que hemos visto es Zero Trust. En los modelos tradicionales, cuando un usuario o una herramienta supera un control de seguridad, puede recibir acceso sin que necesariamente se apliquen nuevas comprobaciones durante toda la sesión.
Zero Trust plantea un esquema diferente basado en el principio de mínimo privilegio y en la aplicación de verificaciones continuas mediante distintos controles de seguridad.
Siguiendo con el ejemplo anterior, una de las primeras preguntas sería: ¿un usuario del área de Contabilidad necesita ejecutar PowerShell? Si la respuesta es no, las aplicaciones, los permisos y las herramientas pueden adaptarse a las necesidades asociadas a cada tipo de usuario.
Superar un control de seguridad únicamente al comienzo de una conexión puede no ser suficiente. Un enfoque Zero Trust busca aplicar verificaciones continuas y el principio de mínimo privilegio mediante diferentes controles, de forma que puedan identificarse y gestionarse posibles desviaciones respecto a las políticas de seguridad.
Quiero destacar que Zero Trust no es una herramienta específica. Es un modelo, una mentalidad o una metodología que engloba múltiples soluciones con diversos objetivos, como las políticas de acceso, la gestión de identidades, la protección de dispositivos o la segmentación, entre otros.
¿Qué cambio de enfoque requiere la ciberseguridad frente a Living off the Land?
Las técnicas Living off the Land ponen de manifiesto que un ciberataque no siempre necesita introducir malware convencional en los sistemas de una organización. Puede aprovechar las herramientas legítimas disponibles y los permisos conseguidos por el atacante para desarrollar actividades maliciosas.
Esto impulsa la evolución hacia un enfoque basado en el análisis de datos y del comportamiento de usuarios y equipos. La búsqueda de patrones y las firmas continúan siendo mecanismos relevantes, pero pueden necesitar complementarse con una visibilidad más profunda, la correlación de información y técnicas basadas en comportamiento.
Sin embargo, la tecnología por sí sola no es suficiente. Es fundamental establecer políticas adecuadas, mantener los sistemas correctamente configurados, revisar los privilegios y disponer de procedimientos eficaces de monitorización y respuesta.
La clave no está en impedir el uso de todas las herramientas legítimas, sino en disponer de la visibilidad y los controles necesarios para diferenciar su utilización habitual de una actividad potencialmente maliciosa.
En este contexto, la ciberseguridad es también una pieza relevante para avanzar hacia un acceso a las tecnologías digitales basado en la confianza. Telefónica asume el reto indiscutible de convertirse en la mejor vía de acceso de los ciudadanos a las tecnologías digitales, un objetivo que implica seguir evolucionando en innovación, redes, servicios y capacidades que acompañen la transformación del entorno digital.
Preguntas frecuentes
¿Qué es un ataque Living off the Land?
Es un enfoque en el que un atacante aprovecha recursos y herramientas disponibles de forma nativa en el sistema operativo para desarrollar actividades maliciosas, en lugar de depender necesariamente de la introducción de malware convencional.
¿Qué son LOLBins y LOLBas?
LOLBins hace referencia a ejecutables legítimos utilizados con estos fines. LOLBas amplía el concepto a Living off the Land Binaries and Scripts, incluyendo también scripts y librerías del sistema.
¿Qué herramientas pueden utilizarse en un ataque Living off the Land?
Entre las herramientas que pueden ser aprovechadas se encuentran PowerShell, WMI, wmic, Certutil y BITS, además de utilidades de entornos Linux y Unix como Bash, SSH, curl, wget o nc.
¿Por qué resulta difícil detectar un ataque sin malware?
Porque puede servirse de herramientas legítimas que también utilizan habitualmente los equipos de IT. El reto consiste en diferenciar un uso normal de un comportamiento potencialmente malicioso a partir de su contexto.
¿Qué papel tienen EDR y XDR?
EDR puede proporcionar visibilidad detallada sobre la actividad de los procesos en los equipos. XDR puede ampliar este enfoque integrando información de ámbitos como dispositivos, red, nube, correo o identidad, dependiendo de las capacidades e integraciones de cada solución.
¿Para qué sirven SIEM y UEBA en este contexto?
SIEM permite centralizar y tratar grandes volúmenes de información y generar alertas asociadas a determinados patrones. Las capacidades UEBA pueden analizar el comportamiento de usuarios y dispositivos para identificar actividades que se apartan de los patrones considerados habituales.
¿Qué es Zero Trust?
Zero Trust es un modelo, una mentalidad o una metodología que combina diferentes controles de seguridad y aplica principios como la verificación continua y el mínimo privilegio.
¿Es suficiente la tecnología para proteger una organización?
No. Además de la tecnología, es necesario establecer políticas adecuadas, mantener los sistemas correctamente configurados, revisar los privilegios y disponer de procedimientos eficaces de monitorización y respuesta.
