حملات Living off the Land: وقتی مهاجم از ابزارهای خودِ ویندوز استفاده می‌کند
نکته عملی: اگر راهکار امنیتی شما فقط فایل‌های مخرب را بر اساس امضا مسدود می‌کند، LOTL دقیقاً همان نقطه‌ای است که از زیر آن عبور می‌کند.
LOTL دقیقاً چیست و چرا تشخیصش سخت است؟
راهنمای مشترک CISA، NSA، FBI و چند نهاد امنیتی بین‌المللی (منتشرشده در ۷ فوریه ۲۰۲۴) توضیح می‌دهد که LOTL با ابزارهای موجود کار می‌کند و بسیاری از سازمان‌ها قابلیت‌های بهترین‌رویه لازم برای تشخیص آن را پیاده نکرده‌اند. وقتی همان ابزار قانونی مدیریت سیستم، هم‌زمان ابزار مهاجم هم هست، فقط نام فایل یا امضای آن نمی‌تواند نشان بدهد کار مجاز است یا مخرب.
مثال مستند: MITRE ATT&CK در تکنیک T1059.001 توضیح می‌دهد که PowerShell یک محیط خط فرمان و اسکریپت‌نویسی داخلی ویندوز است که مهاجم می‌تواند با آن اطلاعات جمع کند، فایل اجرایی اجرا کند، دستور را روی سیستم‌های راه دور با Invoke-Command اجرا کند (نیازمند دسترسی مدیر)، و حتی کدی را دانلود و اجرا کند که هرگز روی دیسک نمی‌نشیند. همچنین PowerShell را می‌توان از طریق اسمبلی .NET با نام System.Management.Automation بدون اجرای powershell.exe فراخوانی کرد؛ یعنی قانون ساده‌ای مثل «اگر powershell.exe اجرا شد هشدار بده» کافی نیست.
جدول: از ضعف تا کنترل جبرانی (بر اساس Mitigationهای فهرست‌شده در MITRE)
| مشکل | کنترل پیشنهادی (نام مطابق MITRE) | توضیح |
|---|---|---|
| PowerShell در سیستم‌هایی که نیازی به آن ندارند فعال است | Disable or Remove Feature or Program (M1042) | حذف PowerShell از جایی که لازم نیست، یا غیرفعال‌سازی WinRM برای محدودکردن اجرای راه دور |
| اسکریپت‌های دلخواه آزادانه اجرا می‌شوند | Code Signing (M1045) و Execution Prevention (M1038) | اجازه فقط به اسکریپت امضاشده؛ کنترل برنامه (application control) و حالت Constrained Language |
| حساب‌های مدیریتی دسترسی گسترده دارند | Privileged Account Management (M1026) | محدودسازی execution policy به مدیران و استفاده از Just Enough Administration (JEA) برای دستورهای جلسه راه دور |
| فایل مشکوک بعد از اجرا جداسازی نمی‌شود | Antivirus/Antimalware (M1049) | قرنطینه خودکار فایل‌های مشکوک (لایه لازم ولی به‌تنهایی کافی نیست) |
چه رفتاری را باید شکار یا ردیابی کرد؟
MITRE برای این تکنیک یک راهبرد تشخیص با نام «Abuse of PowerShell for Arbitrary Execution» (DET0455) ارائه کرده که به‌جای تکیه بر نام فایل، زنجیره رفتاری را می‌جوید: شروع PowerShell با دستور رمزگذاری‌شده (encoded)، فرایند والد غیرمعمول، یا بارگذاری ماژول‌های مشکوک که اغلب با اتصال شبکه یا ایجاد فرایند فرزند ادامه پیدا می‌کند؛ و هم اجرای مستقیم powershell.exe و هم فراخوانی مبتنی بر .NET را پوشش می‌دهد. این دقیقاً از جنس سناریوهایی است که در مقاله Threat Hunting به‌عنوان فرضیه‌های شکار توضیح داده‌ایم.
نقش EDR کسپرسکی: چه چیزی مستند است؟
طبق صفحه رسمی Kaspersky Next EDR Optimum، قابلیت‌هایی مانند «کنترل ناهنجاری تطبیقی» (adaptive anomaly control) برای شناسایی الگوهای فعالیت غیرعادی، اسکن شاخص‌های نفوذ (IoC) و تحلیل ریشه‌ای حادثه ذکر شده است. در Kaspersky Next EDR Expert نیز طبق ادعای رسمی وندور بیش از ۱٬۹۰۰ قانون تشخیص توسط SOC جهانی کسپرسکی نگه‌داری می‌شود و قابلیت‌های پاسخ به حادثه و threat hunting وجود دارد. این‌ها از جنس قابلیت‌های رفتاری‌اند که برای الگوی LOTL مرتبط‌اند، اما این مقاله ادعا نمی‌کند راهکار خاصی همه تکنیک‌های LOTL را مسدود می‌کند؛ اثربخشی واقعی را باید در یک PoC روی محیط خودتان اندازه بگیرید.
چک‌لیست عملی برای مدیر IT و امنیت
- فهرست کنید PowerShell و WinRM کجا واقعاً لازم است و در بقیه سیستم‌ها آن را محدود یا غیرفعال کنید (M1042).
- کنترل برنامه و Constrained Language Mode را روی سیستم‌های حساس فعال کنید تا اسکریپت دلخواه آزادانه اجرا نشود (M1038، M1045).
- دسترسی مدیریتی را با JEA و حداقل امتیاز محدود کنید تا حتی در صورت نفوذ، دامنه اجرای دستور کم باشد (M1026).
- خط‌مبنای رفتار عادی بسازید: کدام فرایندهای والد، کدام ماژول‌ها و کدام اتصال‌های شبکه برای مدیریت قانونی طبیعی است؟ تشخیص غیرعادی بدون این خط‌مبنا ممکن نیست.
- تشخیص رفتاری و شکار دوره‌ای را اضافه کنید: قوانین مبتنی بر زنجیره رفتار (دستور رمزگذاری‌شده، والد غیرعادی، اتصال شبکه پس از اجرا) را روی EDR/XDR فعال و بازبینی کنید؛ برای سازمان‌های بدون تحلیل‌گر اختصاصی، سرویس مدیریت‌شده را بسنجید.
نقش فدک رایان
فدک رایان به‌عنوان نماینده پلاتینیوم کسپرسکی در ایران با بیش از ۲۶ سال سابقه، سیاست‌های محدودسازی بالا را با توپولوژی و نیاز عملیاتی هر سازمان تطبیق می‌دهد، چون محدودکردن PowerShell در یک سازمان با اسکریپت‌های مدیریتی زیاد، با سازمان دیگر متفاوت است. برای آشنایی با قابلیت‌های EDR، راهنمای EDR کسپرسکی و برای پایش مدیریت‌شده، Kaspersky MDR را ببینید. مقاله‌های مرتبط: دفاع در برابر Credential Dumping از LSASS، حمله Golden Ticket و حملات Kerberoasting. تیم مستقر یا اعزامی فدک رایان — حتی به دورترین شهرهای صنعتی — پیاده‌سازی، آموزش و پایش ۲۴/۷ را پشتیبانی می‌کند.
سؤالات متداول
آیا باید PowerShell را کاملاً حذف کنیم؟
الزاماً نه. MITRE حذف PowerShell را فقط «در جایی که لازم نیست» پیشنهاد می‌کند. در سیستم‌های مدیریتی که به آن نیاز دارند، به‌جای حذف، کنترل برنامه، Constrained Language Mode، JEA و ثبت و تشخیص رفتاری را اعمال کنید.
آیا آنتی‌ویروس سنتی برای LOTL کافی است؟
آنتی‌ویروس (M1049) یک لایه مفید است، اما چون LOTL از ابزار قانونی استفاده می‌کند و بخشی از آن بدون فایل روی دیسک اجرا می‌شود، به‌تنهایی کافی نیست؛ تشخیص رفتاری و کنترل‌های محدودکننده لازم‌اند.
مشاوره فنی و ارزیابی وضعیت دفاعی
برای ارزیابی اینکه کنترل‌های سازمان شما در برابر سوءاستفاده از ابزارهای داخلی چقدر آماده است و طراحی PoC تشخیص رفتاری، با کارشناسان فدک رایان تماس بگیرید: ۰۲۱-۷۵ ۲۶۵ یا از طریق فرم مشاوره فنی فدک رایان.