Attaques Living Off the Land (LOTL) : guide de détection et de prévention

Que sont les attaques Living Off the Land (LOTL) ?

Un attaquant reste dans votre réseau pendant une longue période. Aucun malware personnalisé. Aucun exécutable suspect. Toutes ses actions reposent sur les outils fournis avec votre système d'exploitation. C'est ce qu'a fait Volt Typhoon, un acteur malveillant soutenu par l'État chinois. Selon un avis de la CISA, il a maintenu son accès à des infrastructures critiques américaines, notamment dans les secteurs des communications, de l'énergie, des transports et de l'eau, grâce à des outils système natifs et à des identifiants valides.

Le living off the land, ou LOTL, est une catégorie de comportements adverses qui détournent les outils et processus natifs déjà présents sur un système ciblé. Les attaquants utilisent ces binaires préinstallés et considérés comme fiables, appelés Living Off the Land Binaries ou LOLBins, pour se fondre dans l’activité normale du système, agir discrètement et éviter de déclencher les contrôles de sécurité. Les recommandations de la CISA publiées en mars 2025 indiquent que cette approche permet aux acteurs malveillants d’« éviter d’investir dans le développement et le déploiement d’outils sur mesure », tout en réduisant le risque d’être détectés ou bloqués.

Les techniques LOTL s'appliquent aux environnements Windows, Linux, macOS, cloud et hybrides. Sur macOS, le concept équivalent s'appelle "Living Off the Orchard", ou LOOBins. Cette technique couvre tout le cycle d'une attaque : exécution initiale, persistance, mouvement latéral, accès aux identifiants et exfiltration de données. Pour les défenseurs, la visibilité sur les comportements et le contrôle rigoureux des outils de confiance comptent donc davantage que les signatures de fichiers malveillants connus.

Au lieu de créer des malwares que les outils de sécurité peuvent détecter par signature et mettre en quarantaine, les attaquants utilisent PowerShell, WMI, certutil et d'autres outils employés chaque jour par les équipes informatiques. Votre antivirus leur fait confiance. Vos listes d'autorisation les approuvent. Votre SIEM s'attend à les voir. Les équipes de simulation d'attaque de la CISA "utilisent fréquemment des techniques LOTL connues publiquement pour l'exécution, la persistance, le mouvement latéral, la découverte et l'accès aux identifiants, sans que les défenseurs du réseau détectent généralement leur activité", selon les recommandations de 2025. Pour comprendre pourquoi cette approche fonctionne si bien, examinons les techniques et les outils précis sur lesquels s'appuient les attaquants.

Techniques et outils des attaques Living Off the Land

Les attaques LOTL reposent sur un ensemble commun de techniques. Comprendre ces éléments aide à distinguer l'administration courante d'une intrusion en cours.

• Living Off the Land Binaries (LOLBins) : Ce sont des exécutables natifs, signés par l'éditeur du système d'exploitation, que les attaquants détournent. Le LOLBAS Project, directement cité par la CISA, répertorie les LOLBins Windows, tandis que GTFOBins couvre Unix/Linux et LOOBins couvre macOS.
• Identifiants valides: Les attaques LOTL reposent souvent sur des comptes volés ou compromis. Volt Typhoon a utilisé des identifiants d'administrateur de domaine compromis pour se déplacer latéralement par RDP dans les réseaux de ses victimes.
• Exécution sans fichier: Les charges utiles s'exécutent en mémoire ou au moyen de logiciels existants, sans écrire de fichiers exécutables sur le disque. Les attaquants échappent ainsi aux signatures antivirus. Une technique documentée par SANS associe Get-Clipboard et Invoke-Expression de PowerShell pour exécuter du code qui évite les IOC.
• Exécution indirecte par un binaire système : Répertoriée sous MITRE T1218, cette technique consiste à utiliser des binaires de confiance signés pour exécuter des charges utiles malveillantes. Le binaire est légitime, souvent signé par Microsoft, mais la charge utile qu'il lance ne l'est pas.
• Interpréteurs de commandes et de scripts: PowerShell (T1059.001), Windows Command Shell (T1059.003) et les shells Unix (T1059.004) offrent aux attaquants toutes les capacités de script d'outils dont dépend votre entreprise.

Chacune de ces techniques repose sur un petit nombre de binaires qui reviennent d'une campagne à l'autre.

LOLBins courants et leurs usages malveillants

Le tableau ci-dessous présente les LOLBins les plus souvent détournés, leur fonction prévue et l'usage qu'en font les attaquants.

Ensemble, ces composants forment des chaînes d'attaque difficiles à repérer si vos outils reposent surtout sur les signatures de menaces connues ou la réputation des binaires. Il reste à comprendre comment les attaquants les enchaînent.

Comment fonctionnent les attaques Living Off the Land

Une chaîne d'attaque LOTL classique se déroule par étapes. Chacune exploite des outils natifs présents sur le système.

Étape 1 : accès initial

L'attaquant entre par un e-mail de phishing, une vulnérabilité exploitée ou des identifiants compromis. Volt Typhoon a exploité des équipements réseau exposés à Internet. La campagne « Nearest Neighbor » d'APT28 a utilisé le Wi-Fi à proximité de la cible pour obtenir un accès initial.

Étape 2 : exécution

Au lieu de déposer un binaire personnalisé, l'attaquant fait appel aux interpréteurs natifs. PowerShell exécute du code en mémoire. WMI lance des processus à distance. L'opération de ransomware Black Basta a utilisé WMI via Cobalt Strike pour déployer des charges utiles sur les réseaux des victimes, en enchaînant des outils système natifs pour l'exécution latérale.

Étape 3 : reconnaissance et accès aux identifiants

Des outils comme ntdsutil extraient les bases de données Active Directory. CISA a documenté l'utilisation par Volt Typhoon de la commande ntdsutil "ac i ntds" ifm "create full C:\Windows\Temp\pro" pour extraire les identifiants. PowerShell interroge les journaux d'événements. net localgroup administrators recense les limites des privilèges.

Étape 4 : déplacement latéral

Les sessions RDP utilisent des identifiants administrateur valides. SMB transfère des fichiers entre les machines. netsh crée des règles de redirection de ports pour réacheminer le trafic. À chaque étape, l'attaquant utilise un outil que votre équipe informatique pourrait employer légitimement.

Étape 5 : persistance et impact

Les tâches planifiées, les abonnements WMI et les modifications du registre maintiennent l'accès. Lors d'attaques par ransomware, le programme de chiffrement peut être le seul outil non natif de la chaîne. Il n'est déployé qu'après que l'attaquant a utilisé des LOLBins pour repérer chaque cible, y accéder et préparer le terrain.

Le processus entier couvre plusieurs tactiques ATT&CK, de l'exécution à l'évasion des défenses, la persistance, l'accès aux identifiants, la commande et le contrôle, et au déplacement latéral. Découper une attaque LOTL en étapes montre pourquoi les contrôles de sécurité la manquent si souvent : le véritable avantage de l'attaquant tient à la confiance que votre environnement accorde à ces outils.

Pourquoi les attaques Living Off the Land réussissent

Les attaques LOTL réussissent parce qu'elles exploitent les hypothèses de conception de votre infrastructure de sécurité et de vos workflows opérationnels.

• Fiables par conception. Les LOLBins possèdent des empreintes de fichiers valides et des signatures numériques émises par l'éditeur du système d'exploitation. Selon CISA, ces « attributs de confiance peuvent induire les défenseurs du réseau en erreur » et leur faire croire que ces outils sont sûrs pour tous les utilisateurs.
• Invisibles pour les signatures. Une étude évaluée par des pairs, publiée dans Cybersecurity, décrit une technique de contournement précise : les attaquants insèrent dans le code de la ligne de commande des caractères spéciaux que l'interpréteur Windows supprime à l'exécution. La commande exécutée diffère alors de celle évaluée par les règles.
• Masquées par la journalisation par défaut. La CISA confirme que les techniques LOTL cherchent délibérément à "limiter l’activité dans les journaux". Si vous utilisez la journalisation Windows par défaut, vous ne disposez pas des arguments de ligne de commande, du contenu des blocs de script PowerShell ni des chaînes de processus parents.
• Aggravé par la fatigue liée aux alertes. Les règles LOLBin trop générales génèrent beaucoup de faux positifs. Dans son avis sur les attaques du GRU russe, la CISA avertit que "davantage d’heuristiques sont nécessaires" pour chasser efficacement les binaires LOTL sans être submergé par les faux positifs. Quand les analystes ne font plus confiance aux alertes, les opérateurs LOTL gagnent en liberté d’action.
• Prolongé par le temps de présence. Volt Typhoon a maintenu sa présence pendant une longue période. Chaque jour sans détection lui donne un jour de plus pour mener des reconnaissances, collecter des identifiants et se prépositionner.

Ces conditions rendent les techniques LOTL difficiles à détecter, même dans les environnements de sécurité matures. Les campagnes réelles montrent comment ces avantages se concrétisent.

Campagnes LOTL réelles : acteurs étatiques et opérateurs de ransomware

Comprendre comment de véritables adversaires enchaînent les LOLBins rend la menace concrète.

• Volt Typhoon (PRC) a conservé un accès aux systèmes de communication, d’énergie, de transport et d’approvisionnement en eau des États-Unis pendant une longue période. Les outils documentés comprennent wmic, ntdsutil, netsh, PowerShell et RDP, tous documentés dans le profil de Volt Typhoon.
• APT28 / Fancy Bear (Russia/GRU) a mené la campagne Nearest Neighbor pendant plusieurs années, en utilisant reg save pour extraire les ruches SAM, vssadmin pour extraire NTDS.dit, netsh portproxy pour créer des proxys internes et PowerShell pour accéder aux identifiants et compresser les données avant leur exfiltration.
• FIN7 utilise PowerShell avec une obfuscation personnalisée, POWERTRASH, une version modifiée de PowerSploit, rundll32.exe pour exécuter des DLL et des comptes valides, comme l’indique le profil de FIN7 dans ses attaques contre des cibles financières.

Ces campagnes suivent le même schéma : des outils de confiance, des identifiants valides et un minimum de code personnalisé. Ce schéma révèle aussi les défis précis auxquels font face les défenseurs.

Les défis pour stopper les attaques Living Off the Land

Même les organisations dotées de programmes de sécurité matures peinent à contrer les techniques LOTL. Celles-ci exploitent des failles que les outils traditionnels n’ont pas été conçus pour combler.

• Perte de contexte à grande échelle. Une même commande PowerShell peut relever d’une administration courante ou d’une intrusion active. Dans les environnements ICS/OT, SANS documente un cas extrême : des adversaires ont modifié des HMI et reprogrammé des contrôleurs à l’aide de workflows d’ingénierie standard.
• Défaillances structurelles des SIEM. Les SIEM échouent face aux techniques LOTL pour trois raisons : une couverture incomplète des journaux, notamment l’absence d’arguments de ligne de commande dans les configurations par défaut ; des règles trop rigides, fondées sur des motifs statiques incapables de reconnaître des comportements ne correspondant à aucun motif malveillant connu ; et une paralysie due aux faux positifs.
• Manque de visibilité dans le cloud et les environnements hybrides. SANS constate que les attaquants détournent désormais des outils cloud pour obtenir des privilèges d’administration et se déplacer latéralement entre environnements cloud. Une défense limitée aux endpoints Windows ne suffit pas.
• Convergence des acteurs étatiques et des opérateurs de ransomware. MITRE ATT&CK montre, en comparant les acteurs, que les acteurs étatiques, dont Volt Typhoon et APT28, et les opérateurs de ransomware, dont Black Basta et FIN7, utilisent désormais des techniques presque identiques : PowerShell, RDP, WMI, ntdsutil et l’exécution par proxy de binaires système. Vous ne pouvez pas cloisonner vos défenses par type d’acteur malveillant.

Ces défis se retrouvent dans les opérations quotidiennes. Pour les surmonter, commencez par reconnaître les activités LOTL dans votre télémétrie.

Comment détecter les attaques Living Off the Land

Les activités LOTL ne présentent pas les indicateurs de compromission traditionnels. Pour les détecter, examinez comment et pourquoi un processus s’exécute, plutôt que le processus lui-même. Appuyez-vous sur le contexte comportemental, et non sur la réputation des fichiers.

Signaux comportementaux à surveiller

Le guide conjoint de CISA publié en 2025 recommande d’utiliser des critères comme l’heure, le rôle de l’utilisateur et l’ascendance des processus pour distinguer les usages malveillants des usages courants des LOLBins. Parmi les signaux les plus révélateurs :

• PowerShell ou cmd.exe lancé par des applications Office (Word, Excel, Outlook)
• ntdsutil ou vssadmin exécuté par des comptes sans droits d’administration
• certutil utilisé pour télécharger des fichiers plutôt que pour gérer des certificats
• netsh créant des règles de proxy de port ou modifiant la configuration du pare-feu hors des fenêtres de changement
• rundll32.exe chargeant des DLL depuis des répertoires temporaires ou accessibles en écriture aux utilisateurs
• Création de tâches planifiées ou d’abonnements WMI hors des fenêtres de maintenance

SANS préconise une approche flexible des comportements de référence fondée sur des expressions régulières PowerShell appliquées aux champs des journaux d’événements. Affinez les règles progressivement à mesure que vous identifiez les comportements normaux de votre environnement. Ces signaux ne sont visibles que si votre analyse reçoit la télémétrie adaptée.

Les sources de journaux essentielles

Les configurations de journalisation par défaut ne capturent pas la plupart des activités LOTL. CISA recommande d’activer en priorité les éléments suivants :

• Journalisation PowerShell ScriptBlock et Module Logging
• Audit de la création des processus avec leurs arguments en ligne de commande (Event ID 4688)
• Sysmon pour la création de processus, les connexions réseau et les événements liés aux fichiers
• Journalisation des activités WMI (Event IDs 5857–5861)

Regroupez ces journaux dans un emplacement centralisé à écriture unique et appliquez l’analyse du comportement des utilisateurs et des entités (UEBA) pour détecter les anomalies par rapport aux comportements de référence établis.

Même avec la bonne télémétrie, les équipes commettent souvent des erreurs évitables qui affaiblissent leurs capacités de détection.

Erreurs courantes dans la défense contre les attaques Living Off the Land

Même lorsqu’elles connaissent la menace LOTL, les équipes de sécurité affaiblissent leurs défenses par des lacunes opérationnelles récurrentes.

1. Autoriser tous les LOLBins sans distinction. Supposer que les outils informatiques légitimes peuvent être autorisés partout en toute sécurité élargit la surface d’attaque. Le guide de CISA publié en 2025 met explicitement en garde contre cette pratique.
2. Conserver les configurations de journalisation par défaut. Sans PowerShell ScriptBlock Logging, Module Logging, l’audit des processus en ligne de commande et la journalisation des activités WMI, vous ne disposez pas de la télémétrie nécessaire à l’analyse LOTL.
3. Assimiler l’absence d’alertes à l’absence de compromission. Le silence ne garantit pas la sécurité.
4. Appliquer les procédures de réponse aux incidents informatiques aux environnements ICS/OT. SANS avertit que les contrôles informatiques peuvent causer des dommages lorsqu’ils sont appliqués directement aux environnements industriels.
5. Remplacer les compétences des analystes par des outils. Les outils complètent les compétences des analystes, mais ne les remplacent pas pour évaluer le contexte des attaques LOTL. Créer des règles sans investir dans la chasse aux menaces génère du bruit, pas une défense.

Pour éviter ces erreurs, commencez par des contrôles qui améliorent la visibilité, limitent l’exploitation de la confiance et donnent plus de contexte aux analystes.

Comment prévenir les attaques Living Off the Land

La prévention réduit la surface d’attaque exploitée par les attaques LOTL : accès trop permissifs aux outils, authentification faible et restrictions insuffisantes des environnements de script.

• Activez une journalisation centralisée et détaillée. Pour CISA, la priorité absolue est de centraliser des journaux complets dans un emplacement distinct, à écriture unique. Sans télémétrie détaillée sur PowerShell, la création de processus et l’activité WMI, l’analyse comportementale manque de données.
• Déployez une liste d’autorisation des applications. Utilisez AppLocker ou Windows Defender Application Control, WDAC, pour restreindre l’exécution des LOLBins selon l’utilisateur, le chemin et l’éditeur. Bloquez ou restreignez mshta.exe, psexec.exe, certutil.exe, wmic.exe et rundll32.exe, sauf pour les comptes administratifs approuvés. Commencez en mode audit avant d’appliquer les restrictions.
• Imposez le mode Constrained Language de PowerShell. CLM restreint les fonctions de script avancées et bloque des méthodes .NET telles que [Convert]::FromBase64String() tout en préservant les fonctions de base des cmdlets. Associez-le à la politique d’exécution AllSigned et à Just Enough Administration, ou JEA.
• Imposez une MFA résistante au phishing. CISA en fait une priorité immédiate pour se défendre contre les attaques LOTL. Imposez la MFA notamment pour les accès RDP, VPN et aux logiciels de surveillance et de gestion à distance (RMM), conformément aux recommandations de CISA sur le RMM.
• Adoptez une architecture Zero Trust. CISA et la NSA recommandent vivement Zero Trust comme stratégie à long terme. Les attaques LOTL réussissent parce que les défenses périmétriques font implicitement confiance aux outils internes et aux sessions authentifiées. Zero Trust élimine cette confiance implicite grâce à la microsegmentation, aux accès à privilèges minimaux et à la vérification continue.

Ces pratiques augmentent le coût des attaques LOTL pour les attaquants. Pour les appliquer à la vitesse machine, il vous faut une plateforme fondée sur le contexte comportemental.

Protégez votre point d'accès

Découvrez comment la sécurité des points finaux alimentée par l'IA de SentinelOne peut vous aider à prévenir, détecter et répondre aux cybermenaces en temps réel.

Obtenir une démonstration

Points clés

Les attaques Living Off the Land détournent des outils système natifs et fiables pour échapper aux défenses fondées sur les signatures. Les acteurs étatiques et les opérateurs de ransomware utilisent désormais des techniques LOTL similaires dans les environnements Windows, Linux, cloud et OT. 

Pour les stopper, il vous faut une journalisation détaillée, des profils comportementaux de référence, un contrôle des applications, une architecture Zero Trust et une cybersécurité fondée sur l’ IA comportementale qui distingue les intentions malveillantes des usages légitimes des outils. Des plateformes comme Singularity, qui corrèlent de façon autonome des chaînes d’attaque complètes, évitent les investigations manuelles dont tirent parti les attaques LOTL.