Living Off the Land (LOTL) 攻擊：偵測與預防指南

什麼是 Living Off the Land (LOTL) 攻擊？

攻擊者長時間潛伏在您的網路中。沒有自訂惡意軟體。沒有可疑的可執行檔。每一個動作都使用您的作業系統隨附的工具。根據 CISA 公告，這正是 Volt Typhoon 的已知現實情況；Volt Typhoon 是一個由中國政府支持的威脅行為者，使用原生系統工具和有效憑證，持續存取美國關鍵基礎設施，包括通訊、能源、運輸和供水系統。

就地取材（Living off the land，簡稱 LOTL）是一類對手行為，會濫用目標系統上已存在的原生工具與程序。攻擊者使用這些受信任、預先安裝的二進位檔，稱為 Living Off the Land Binaries 或 LOLBins，以融入正常的系統活動、低調運作，並避免觸發安全控制。CISA 於 2025 年 3 月發布的指引將此方法定義為一種可讓威脅行為者「避免投入自訂工具的開發與部署」的方式，同時降低其被發現或遭封鎖的可能性。

LOTL 橫跨 Windows、Linux、macOS、雲端及混合環境運作。在 macOS 上，對應的概念稱為 "Living Off the Orchard"，或 LOOBins。此技術涵蓋完整的攻擊生命週期，從初始執行到持久化、橫向移動、憑證存取，以及 資料外洩。對防禦者而言，這表示對行為的可視性以及對受信任工具的強力控管，比起針對已知惡意檔案的特徵碼更為重要。

攻擊者不會撰寫可被安全工具以特徵碼比對並隔離的惡意軟體，而是使用 PowerShell、WMI、certutil 及其他 IT 團隊每天都在執行的工具。您的防毒軟體信任它們。您的允許清單核准它們。您的 SIEM 預期會看到它們。根據 2025 指引，CISA 自家的紅隊「經常使用公開已知的 LOTL 技術來進行執行、持久化、橫向移動、探索及憑證存取，而網路防禦者很少發現其活動」。若要了解為何這種方式如此有效，請先從攻擊者依賴的具體技術與工具開始。

Living Off the Land 攻擊背後的技術與工具

LOTL 攻擊共享一組常見的基本構成要素。了解這些元件有助於區分例行管理作業與進行中的入侵。

• Living Off the Land Binaries (LOLBins)： 這些是原生、由作業系統簽署的可執行檔，會被攻擊者重新利用。 LOLBAS Project由 CISA 直接引用，彙整了 Windows LOLBins，而 GTFOBins則涵蓋 Unix/Linux，而 LOOBins 涵蓋 macOS。
• 有效憑證：若沒有遭竊或遭入侵的帳號，LOTL 很少能成功運作。Volt Typhoon 使用遭入侵的網域管理員憑證，透過 RDP 在受害者網路中進行橫向移動。
• 無檔案執行：承載內容會在記憶體中執行，或透過現有軟體執行，而不會將可執行檔寫入磁碟。這有助於攻擊者避開防毒特徵碼。SANS 記錄的一種技術會使用 PowerShell 的 Get-Clipboard 搭配 Invoke-Expression 來執行可 避開 IOC的程式碼。
• 系統二進位代理執行： 分類於 MITRE T1218之下，這涉及使用受信任且已簽署的二進位檔來執行惡意承載內容。該二進位檔是合法的，通常由 Microsoft 簽署，但其啟動的承載內容並非如此。
• 命令與指令碼直譯器：PowerShell (T1059.001)、Windows Command Shell (T1059.003) 以及 Unix shells (T1059.004) 透過企業所依賴的工具，為攻擊者提供完整的指令碼能力。

這些技術中的每一項都圍繞著一小組在一次又一次攻擊活動中反覆出現的二進位檔。

常見 LOLBins 及其惡意用途

下表將最常遭濫用的 LOLBins 對應到其預期功能，以及攻擊者如何重新利用它們。

這些元件結合後會形成難以察覺的攻擊鏈，尤其當您的工具主要依賴已知惡意特徵碼或二進位檔案信譽時更是如此。下一步是了解攻擊者如何將它們串接起來。

Living Off the Land 攻擊如何運作

典型的 LOTL 攻擊鏈會分階段展開，每個階段都使用系統上原生存在的工具。

第 1 階段：初始存取

攻擊者透過網路釣魚電子郵件、遭利用的弱點或遭入侵的憑證取得進入權限。Volt Typhoon 利用對外公開的網路設備。APT28 的「Nearest Neighbor」行動 使用 Wi-Fi 在目標附近取得初始存取。

第 2 階段：執行

攻擊者不會投放自訂二進位檔案，而是呼叫原生直譯器。PowerShell 在記憶體中執行程式碼。WMI 會遠端產生程序。Black Basta 勒索軟體行動使用了 WMI 搭配 Cobalt Strike 在受害者網路中部署酬載，串連原生系統工具以進行橫向執行。

第 3 階段：探索與憑證存取

像是 ntdsutil 這類工具可擷取 Active Directory 資料庫。CISA 記錄了 Volt Typhoon 執行命令 ntdsutil "ac i ntds" ifm "create full C:\Windows\Temp\pro" 以 傾印憑證。PowerShell 會查詢事件記錄。 net localgroup administrators 可對應權限邊界。

第 4 階段：橫向移動

RDP 工作階段使用有效的管理員憑證。SMB 在主機之間傳輸檔案。netsh 會建立連接埠代理規則以重新導向流量。每一步都使用您的 IT 團隊可能基於正當理由執行的工具。

第 5 階段：持續性與影響

排程工作、WMI 訂閱和登錄修改可維持存取權限。在 ransomware 行動中，加密器本身可能是鏈中唯一的非原生工具，而且只有在攻擊者使用 LOLBins 對每個目標完成對應、存取與準備後才會部署。

整個流程對應到多個 ATT&CK tactics，涵蓋從執行到防禦規避、持續性、憑證存取、命令與控制，以及 橫向移動。將 LOTL 拆解為各個階段後，就能清楚看出為何安全控制經常漏掉這類攻擊：攻擊者真正的優勢來自於您的環境天生就被設計為信任這些工具。

為何 Living Off the Land 攻擊會成功

LOTL 攻擊之所以成功，是因為它們利用了內建於您的安全堆疊與營運工作流程中的架構性假設。

• 設計上即受信任。 LOLBins 帶有由作業系統供應商簽發的有效檔案雜湊與數位簽章。CISA 表示，這些「受信任屬性可能會誤導網路防禦者」，使其認為它們對所有使用者而言都是安全的。
• 特徵碼無法察覺。 Cybersecurity 上一項經同儕審查的研究記錄了一種特定的繞過方式：攻擊者在命令列程式碼中插入特殊字元，而 Windows 直譯器會在執行階段將其移除，導致實際執行的命令與規則評估的內容不同。
• 隱藏於預設記錄中。 CISA 確認 LOTL 技術會刻意 「限制記錄於日誌中的活動」。如果您使用預設的 Windows 記錄設定，您將缺少命令列引數、PowerShell 指令碼區塊內容，以及程序祖系鏈。
• 警示疲勞使情況更加惡化。 廣泛的 LOLBin 規則會產生大量誤判。CISA 針對俄羅斯 GRU 目標活動的公告警告， 「需要更多啟發式方法」 才能有效獵捕 LOTL 二進位檔，避免被大量誤判淹沒。當分析師不再信任警示時，LOTL 操作者就有更多操作空間。
• 停留時間延長使情況更加惡化。 Volt Typhoon 持續潛伏了相當長的一段時間。每一天未被識別，都意味著多一天可進行偵察、憑證蒐集與預先部署。

即使在成熟的環境中，這些條件也使 LOTL 難以被發現。真實世界的攻擊活動顯示了這些優勢如何在實務中發揮作用。

真實世界的 LOTL 攻擊活動：國家級與勒索軟體操作者

了解真實對手如何將 LOLBins 串聯使用，能讓這項威脅更具體。

• Volt Typhoon (PRC) 在長時間內維持對美國通訊、能源、運輸與供水系統的存取。已記錄的工具包括 wmic, ntdsutil, netsh、PowerShell 與 RDP，皆記錄於 Volt Typhoon profile。
• APT28 / Fancy Bear (Russia/GRU) 執行了 Nearest Neighbor campaign，歷時多年，使用 reg save 傾印 SAM hive、使用 vssadmin 擷取 NTDS.dit、使用 netsh portproxy 建立內部代理，並使用 PowerShell 進行憑證存取與資料壓縮後再外洩。
• FIN7 使用搭配自訂混淆的 PowerShell、POWERTRASH、經修改的 PowerSploit、rundll32.exe 來執行 DLL，以及根據 FIN7 profile 使用有效帳號，橫跨金融目標。

這些攻擊活動中的模式一致：受信任的工具、有效憑證，以及最少量的自訂程式碼。這種模式也揭示了防禦者面臨的具體挑戰。

阻止 Living Off the Land 攻擊的挑戰

即使是擁有成熟安全計畫的組織，也難以對抗 LOTL，因為這些技術利用了傳統工具原本並非為解決而設計的缺口。

• 大規模的情境崩解。 相同的 PowerShell 命令可能代表例行管理，也可能代表正在進行的入侵。在 ICS/OT 環境中，SANS 記錄了其極端形式：對手 變更 HMI 並使用標準工程工作流程重新編寫控制器。
• SIEM 結構性失效。 SIEMs 因日誌涵蓋缺口而無法有效對抗 LOTL，例如預設設定中沒有命令列引數；規則脆弱性，例如對不符合任何已知惡意模式之行為進行靜態模式比對；以及誤判癱瘓。
• 雲端與混合環境可視性缺口。 SANS 指出，攻擊者現在正濫用雲端工具來取得管理權限，並在雲端環境之間橫向移動。如果您的防禦僅涵蓋 Windows 端點，那還不夠。
• 國家級與勒索軟體的趨同。 MITRE ATT&CK 跨威脅行為者對應顯示，國家級威脅行為者，包括 Volt Typhoon 和 APT28，以及勒索軟體操作者，包括 Black Basta 和 FIN7，現在使用幾乎相同的技術：PowerShell、RDP、WMI、ntdsutil，以及系統二進位代理執行。您無法依威脅行為者類型將防禦各自孤立。

這些挑戰會直接延伸到日常營運。克服這些挑戰的起點，是了解 LOTL 活動在您的遙測中呈現的樣貌。

如何偵測 Living Off the Land 攻擊

LOTL 活動缺乏傳統的入侵指標。偵測需要將焦點從執行的是什麼，轉移到它如何以及為何執行，使用行為脈絡而非檔案信譽。

應監控的行為訊號

CISA 的 2025 聯合指引 建議套用如一天中的時間、使用者角色及程序祖系等啟發式方法，以區分惡意與例行的 LOLBin 使用。高價值訊號包括：

• 由 Office 應用程式（Word、Excel、Outlook）衍生的 PowerShell 或 cmd.exe
• ntdsutil 或 vssadmin 由非管理員帳戶執行
• certutil 用於檔案下載而非憑證管理
• netsh 在變更時段之外建立連接埠代理規則或修改防火牆組態
• rundll32.exe 從暫存或使用者可寫入目錄載入 DLL
• 排程工作或 WMI 訂閱建立發生在維護時段之外

SANS 提倡一種 彈性基準方法，使用套用至事件記錄欄位的 PowerShell 正規表示式，並在您了解環境的正常模式時反覆精進規則。只有在正確的遙測資料輸入您的分析時，這些訊號才會浮現。

重要的記錄來源

預設記錄組態會遺漏大多數 LOTL 活動。CISA 優先建議啟用 以下項目：

• PowerShell ScriptBlock 與模組記錄
• 命令列程序建立稽核（事件 ID 4688，含引數）
• 用於程序建立、網路連線及檔案事件的 Sysmon
• WMI 活動記錄（事件 ID 5857–5861）

將這些記錄彙整到集中式、一次寫入的位置，並套用 使用者與實體行為分析 (UEBA)，以針對既有基準找出異常。

即使具備正確的遙測資料，團隊仍常犯下可避免的錯誤，削弱其偵測態勢。

Living Off the Land 防禦中的常見錯誤

認知到 LOTL 威脅的資安團隊，仍會因反覆出現的營運缺口而削弱自身防禦。

1. 對 LOLBin 採取全面允許政策。 相信合法 IT 工具可安全地在全域允許，會擴大 攻擊面。CISA 的 2025 指引已明確警告此作法。
2. 執行預設記錄組態。 如果您尚未啟用 PowerShell ScriptBlock 記錄、模組記錄、命令列程序稽核及 WMI 活動記錄，您就缺乏 LOTL 分析所需的遙測資料。
3. 將沒有警示視為沒有入侵。 沉默不等於安全。
4. 將 IT 事件回應作業手冊套用到 ICS/OT。 SANS 警告，IT 控制措施 可能造成危害，當其直接套用於工業環境時。
5. 以工具取代分析師能力。 工具可強化分析師，但無法取代分析師在 LOTL 情境評估上的技能。若只建立規則卻不投資於 威脅狩獵，最終得到的只會是雜訊，而非防禦。

避免這些錯誤，應從能提升可視性、降低信任濫用，並為分析師提供更多情境的控制措施開始。

如何防範 Living Off the Land 攻擊

預防的重點在於縮小 LOTL 所利用的攻擊面：過度寬鬆的工具存取、薄弱的驗證機制，以及對指令碼環境限制不足。

• 啟用集中式詳細記錄。 CISA 的首要優先事項是在帶外、一次寫入的位置彙整廣泛的記錄。若沒有涵蓋 PowerShell、程序建立與 WMI 活動的詳細遙測資料，行為分析將無從著手。
• 部署應用程式允許清單。 使用 AppLocker 或 Windows Defender Application Control, WDAC，依使用者、路徑與發行者限制 LOLBin 執行。封鎖或限制 mshta.exe, psexec.exe, certutil.exe, wmic.exe，以及 rundll32.exe，僅允許經核准的管理帳戶使用。正式強制執行前，請先以稽核模式開始。
• 強制執行 PowerShell Constrained Language Mode。CLM 會限制進階指令碼功能，封鎖如 [Convert]::FromBase64String() 等 .NET 方法，同時保留基本 cmdlet 功能。請將其與 AllSigned 執行原則及 Just Enough Administration（JEA）搭配使用。
• 實施可抵禦網路釣魚的 MFA。CISA 將此列為 立即優先事項，以防禦 LOTL。請特別針對 RDP、VPN 與 遠端監控與管理（RMM） 軟體存取強制執行 MFA，依據 CISA RMM 指引。
• 採用 Zero Trust 架構。 CISA 與 NSA 強烈建議將 Zero Trust 作為長期策略。LOTL 之所以成功，是因為周邊防禦會隱含信任內部工具與已驗證工作階段。 Zero Trust 透過 微分段、最小權限存取與持續驗證，移除這種隱含信任。

這些做法會提高攻擊者執行 LOTL 的成本。若要以機器速度落實這些措施，您需要一個以行為情境為核心打造的平台。

Protect Your Endpoint

See how AI-powered endpoint security from SentinelOne can help you prevent, detect, and respond to cyber threats in real time.

Get a Demo

重點整理

Living off the land 攻擊會濫用受信任的原生系統工具，以規避基於特徵碼的防禦。民族國家行為者與勒索軟體操作者如今已在 Windows、Linux、雲端與 OT 環境中使用類似的 LOTL 技術。 

若要阻止這類攻擊，您需要詳細記錄、行為基準、應用程式控制、Zero Trust 架構，以及能區分惡意意圖與合法工具使用的行為式 AI 網路安全。像 Singularity 這類可自主關聯完整攻擊鏈的平台，能取代 LOTL 所利用的手動調查負擔。