حمله LotL چیست و چگونه میتوان از آن جلوگیری کرد؟

LOTL Attacksمجرمان سایبری برای حمله به شما، نیازی به نصب بدافزار روی سیستم شما ندارند. آنها میتوانند بی سروصدا از برنامه‌های موجود برای بدست گرفتن کنترل استفاده کنند. در بیشتر حملات سایبری، بدافزار، کامپیوتر قربانی را آلوده میکند و بعنوان ایستگاه اتصال مهاجم عمل میکند. یافتن و حذف این ایستگاه اتصال با ضد بدافزار نسبتاً آسان است. اما روش حمله دیگری وجود دارد که در آن مجرم سایبری نیازی به نصب بدافزار ندارد.در عوض، یک مهاجم اسکریپتی را اجرا میکند که از منابع موجود در دستگاه برای حمله سایبری استفاده میکند. و بدتر از همه، حمله Living off the Land (LotL) میتواند برای مدت طولانی شناسایی نشود. با اینحال، پیشگیری، یافتن و خنثی کردن این حملات امکانپذیر است.حمله LotL چیست؟حمله LotL نوعی حمله بدون فایل است که در آن یک هکر بجای استفاده از بدافزار، از برنامه‌های موجود در دستگاه استفاده میکند. این روش، امکان کشف حمله را کمتر میکند. برخی از برنامه‌های بومی که هکرها اغلب برای حملات LotL استفاده میکنند عبارتند از:Command Line Console, PowerShell, Windows Registry Console, Windows Management Instrumentation Command Lineهکرها همچنین از‌هاست‌های اسکریپت مبتنی بر ویندوز و مبتنی بر کنسول (WScript.exe و CScript.exe) استفاده میکنند. ابزارها با هر کامپیوتر ویندوزی ارائه میشوند و برای اجرای کارهای اداری عادی ضروری هستند.حملات بدافزار بدون فایل (LotL) چگونه اتفاق می افتد؟اگرچه حملات LotL بدون فایل هستند، هکرها همچنان به ترفندهای مهندسی اجتماعی آشنا برای یافتن اینکه چه کسی را هدف قرار دهند، تکیه میکنند. در ابتدا، بسیاری از حملات زمانی اتفاق می‌افتند که کاربر از یک وبسایت ناامن بازدید میکند، یک ایمیل فیشینگ باز میکند یا از درایو USB آلوده استفاده میکند. این وبسایت‌ها، ایمیلها یا دستگاههای مدیا، کیت حمله حاوی اسکریپت بدون فایل را دارا میباشند.در مرحله بعدی هک، کیت برنامه‌های سیستم را از نظر آسیب‌پذیری اسکن میکند و اسکریپت را برای به خطر انداختن برنامه‌های آسیب‌پذیر اجرا میکند. از اینجا به بعد، مهاجم میتواند از راه دور به کامپیوتر دسترسی داشته باشد و داده‌ها را سرقت کند یا تنها با استفاده از برنامه‌های سیستم، درهای پشتی آسیب‌پذیری ایجاد کند.دلایل دیگری که چرا حملات LOTL برای مجرمان سایبری جذاب است:بسیاری از برنامه های متداول حمله LOTL، مانند WMI و PowerShell، در لیست "مجاز" شبکه قربانی هستند، که پوششی عالی برای دشمنان به هنگام انجام فعالیتهای مخرب ایجاد میکند - فعالیتی که اغلب توسط مرکز عملیات امنیتی قربانی نادیده گرفته میشود (SOC). ) و سایر اقدامات امنیتی.حملات LOTL از فایلها یا امضاها استفاده نمیکنند، به این معنی که حملات نمیتوانند با یکدیگر مقایسه یا متصل شوند، که جلوگیری از آنرا در آینده دشوارتر میکند و به مجرم اجازه میدهد تا به میل خود از تاکتیک‌ها استفاده مجدد کند.استفاده از ابزارهای قانونی و فقدان امضا، نسبت دادن حملات LOTL را دشوار میکند، بنابراین چرخه حمله را تقویت میکند.زمانهای اقامت طولانی و بدون مزاحمت به حریف اجازه میدهد حملات پیچیده ای را تنظیم و انجام دهد. تا زمانیکه قربانی از موضوع آگاه شود، اغلب زمان کمی برای پاسخگویی موثر وجود دارد.چگونه از حملات LotL جلوگیری کنیماگر هکرها مستقیماً به کامپیوتر شما دسترسی نداشته باشند، همچنان به راهی برای تحویل محموله خود نیاز دارند. فیشینگ رایج ترین روش است که هکرها می یابند که چه کسی را هک کنند.راههای دیگر عبارتند از هک بلوتوث و حملات man-in-the-middle. بهر ترتیب، محموله در فایلهای قانونی، مانند فایل مایکروسافت آفیس حاوی اسکریپت‌های کوتاه و قابل اجرا برای جلوگیری از شناسایی پنهان میشود. بنابراین، چگونه از این حملات جلوگیری میکنید؟نرم افزار خود را بروز نگه داریدمحموله در حملات LotL هنوز برای اجرا به آسیب‌پذیری‌های یک برنامه یا سیستم عامل شما متکی است. تنظیم دستگاه و برنامه‌هایتان برای دانلود و نصب بروزرسانی‌های امنیتی به محض در دسترس قرار گرفتن، میتواند محموله را به یک محتوی تبدیل کند.پالیسی‌های محدودیت نرم افزار را تنظیم کنیدبروز نگه داشتن نرم افزار، شروع خوبی است، اما چشم‌انداز امنیت سایبری به سرعت تغییر میکند. ممکن است یک پنجره بروزرسانی را برای از بین بردن آسیب‌پذیری‌ها قبل از سوءاستفاده مهاجمان از دست بدهید. بدین ترتیب، بهتر است در وهله اول نحوه اجرای دستورات یا استفاده از منابع سیستم توسط برنامه‌ها محدود شود.در اینجا دو گزینه دارید: لیست سیاه یا لیست سفید برنامه‌ها.لیست سفید زمانی است که به فهرستی از برنامه‌ها بطور پیشفرض دسترسی به منابع سیستم را میدهید. سایر برنامه‌های موجود و جدید بطور پیشفرض محدود شده اند.برعکس، لیست سیاه زمانی است که شما لیستی از برنامه‌هایی تهیه میکنید که نمیتوانند به منابع سیستم دسترسی داشته باشند. بدین ترتیب، سایر برنامه‌های موجود و جدید میتوانند بطور پیشفرض به منابع سیستم دسترسی داشته باشند.هر دو گزینه مزایا و معایب خود را دارند، بنابراین شما باید تصمیم بگیرید که کدامیک برای شما بهترین است.هیچ محصول یا روش یا ترفندی برای حملات سایبری وجود نداردماهیت حملات Living off the Land به این معناست که بیشتر مردم تا زمانیکه مشکلی جدی پیش نیاید متوجه هک شدن خود نخواهند شد. و حتی اگر از نظر فنی باهوش باشید، هیچ راهی برای تشخیص نفوذ یک دشمن به شبکه شما وجود نداردبهتر است در وهله اول با انجام اقدامات احتیاطی معقول از حملات سایبری خودداری کنید.