Pendant de nombreuses années, la cybersécurité s’est concentrée sur la détection des logiciels malveillants : antivirus, signatures comportementales et solutions de protection des terminaux ont été conçus pour identifier et bloquer des programmes inconnus ou malveillants.
Pourtant, à mesure que les défenses se sont perfectionnées, les attaquants ont modifié leurs méthodes : pourquoi développer un malware complexe et repérable, alors qu’il est possible d’exploiter les outils déjà présents sur le système de la victime ?
C’est de cette logique qu’est née l’approche dite « Living off the Land », souvent abrégée LOTL.
Aujourd’hui, elle représente l’une des techniques d’intrusion les plus redoutables du paysage cybercriminel, précisément parce qu’elle brouille la frontière entre activité légitime et activité malveillante.
Comprendre le concept
L’expression anglaise « Living off the Land » provient du vocabulaire militaire : elle désigne la capacité à survivre grâce aux ressources disponibles sur place, sans dépendre d’un approvisionnement extérieur, un peu comme un commando de saboteurs parachuté derrière les lignes ennemies !
Dans le domaine de la cybersécurité, le principe est similaire.
Au lieu d’introduire un programme malveillant identifiable, l’attaquant utilise les outils natifs déjà installés sur le système ciblé, ou installés par la maintenance informatique elle-même. Il exploite des fonctionnalités parfaitement légitimes du système d’exploitation pour exécuter ses actions.
L’objectif est simple : se fondre dans l’environnement informatique et réduire au maximum les indicateurs de compromission.
Un attaquant LOTL peut ainsi utiliser, liste non exhaustive :
- PowerShell sous Windows
- Windows Management Instrumentation (WMI)
- PsExec
- Command Prompt (cmd.exe)
- Certutil
- Regsvr32
- Rundll32
- Bitsadmin
- Tâches planifiées
- SSH sous Linux
- Bash et les outils Unix standards
Tous ces composants ont été conçus pour l’administration, le dépannage ou l’automatisation par l’éditeur du système d’exploitation.
Pourtant, entre les mains d’un cybercriminel expérimenté, ils deviennent des armes aussi discrètes que redoutables !
L’évolution historique des attaques LOTL
Depuis les années 80, les premiers pirates informatiques cherchaient essentiellement à infecter les systèmes avec des virus ou des chevaux de Troie clairement identifiables, car développés spécialement à cet effet.
Dans les années 1990 et au début des années 2000, le modèle dominant reposait donc sur le déploiement de fichiers malveillants, conçus pour l’attaque ou l’espionnage.
Cette situation a commencé à changer avec l’amélioration des antivirus basés sur des signatures.
Aux alentours de 2010, les groupes d’attaquants les plus avancés, notamment les acteurs étatiques et les équipes de cyberespionnage, ont progressivement adopté une approche plus discrète. Ils ont compris qu’un outil Microsoft signé numériquement était souvent moins surveillé qu’un exécutable inconnu téléchargé depuis Internet.
Les campagnes d’espionnage attribuées à plusieurs groupes APT (Advanced Persistent Threats) ont démontré l’efficacité de cette stratégie. Les attaquants privilégiaient alors :
- les scripts PowerShell
- les commandes WMI
- les tâches planifiées
- les outils d’administration à distance
À partir de 2015, cette approche s’est largement démocratisée. Les groupes de ransomware ont adopté les mêmes méthodes pour contourner les défenses modernes et se déplacer latéralement dans les réseaux d’entreprise.
Aujourd’hui, LOTL n’est plus réservé aux acteurs étatiques. Il constitue même l’un des piliers des attaques contemporaines avancées.
Pourquoi les techniques LOTL sont si efficaces
Le principal avantage du LOTL réside dans son caractère furtif.
Lorsqu’un administrateur système utilise PowerShell pour inventorier des postes de travail, l’activité paraît normale. Lorsqu’un attaquant utilise exactement le même outil pour exfiltrer des données, la différence est difficile à détecter.
Cette difficulté provient de plusieurs facteurs.
D’abord, les outils employés sont légitimes. Ils sont souvent signés par Microsoft et présents par défaut dans le système d’exploitation.
Ensuite, aucun logiciel malveillant n’est nécessaire. Les contrôles reposant sur les signatures ou la réputation des fichiers perdent alors une grande partie de leur efficacité. C’est le concept même de l’arme par procuration.
Enfin, les journaux d’événements peuvent montrer des actions administratives apparemment ordinaires, ce qui complique considérablement l’analyse, et la réserve à ceux qui savent ce qu’ils cherchent, à savoir un comportement suspect plutôt que l’outil utilisé.
Le rôle central de PowerShell
Parmi tous les outils utilisés dans les campagnes LOTL, PowerShell occupe une place particulière.
Introduit par Microsoft en 2006, cet environnement d’administration est devenu extrêmement puissant. Il permet d’automatiser presque toutes les opérations réalisables sur un système Windows.
Pour un administrateur, il représente un gain de productivité considérable.
Pour un attaquant, il offre :
- l’exécution de code en mémoire ;
- l’accès aux API Windows ;
- la collecte d’informations système ;
- la communication réseau ;
- l’automatisation d’actions complexes.
Un pirate peut ainsi télécharger un script malveillant directement en mémoire sans jamais créer de fichier sur le disque. Cette technique réduit fortement les chances de détection.
Exemple vécu d’attaque LOTL dans une entreprise suisse de services financiers
Une employée ciblée reçoit un e-mail de phishing contenant un lien vers un faux portail de connexion à Microsoft 365.
Le mail avait les apparences de l’authenticité, spear phishing classique, clic et saisie des identifiants qui sont récupérés par les attaquants.
Désormais munis d’un compte valide, les cybercriminels se connectent au réseau.
Plutôt que d’installer un malware, ils utilisent PowerShell pour effectuer une reconnaissance interne. Ils identifient les serveurs sensibles, les utilisateurs administrateurs et les partages de fichiers.
Ensuite, ils exploitent WMI et PsExec pour se déplacer vers d’autres machines.
Les comptes privilégiés découverts permettent de prendre progressivement le contrôle de l’infrastructure.
Pendant plusieurs semaines, les attaquants collectent discrètement des données stratégiques sans installer le moindre programme malveillant détectable.
Aux yeux des systèmes de sécurité traditionnels, présents dans l’entreprise en question, il s’agit essentiellement d’une succession de commandes administratives légitimes, donc pas signalées.
Ce n’est que pendant la revue post mortem, en procédant à des recoupements avec une autre équipe, que l’on a découvert l’ampleur exacte des compromissions, bien trop tard pour empêcher une fuite massive de données sur plusieurs niveaux…
Les techniques LOTL dans les campagnes de ransomware
Les opérateurs de ransomware utilisent massivement les méthodes Living off the Land.
Avant de chiffrer les données, ils doivent généralement :
- cartographier le réseau ;
- identifier les sauvegardes ;
- désactiver certaines protections ;
- obtenir des privilèges élevés ;
- propager l’attaque, généralement de façon transversale.
Pour cela, ils s’appuient souvent sur des outils déjà présents dans l’environnement.
PowerShell permet l’exécution de scripts automatisés.
WMI facilite l’interrogation des systèmes distants.
PsExec autorise l’exécution d’actions sur plusieurs postes.
Les tâches planifiées servent à maintenir la persistance.
Cette phase de préparation peut durer plusieurs jours ou plusieurs semaines avant le déclenchement du chiffrement, qui sera alors souvent exhaustif, tant l’attaquant aura pris soin de tout repérer.
Les LOLBins : les binaires légitimes détournés
Le terme LOLBin signifie « Living Off The Land Binary ».
Il désigne un programme légitime fourni par le système d’exploitation mais détourné à des fins malveillantes.
Parmi les LOLBins les plus connus figurent :
Certutil
Conçu pour la gestion des certificats numériques, il peut également télécharger des fichiers depuis Internet.
Rundll32
Il permet d’exécuter des fonctions présentes dans des bibliothèques DLL et peut être utilisé pour contourner certains mécanismes de sécurité.
Regsvr32
Prévu pour enregistrer des composants logiciels, il a longtemps été exploité pour charger du code distant.
Mshta
Cet outil destiné à exécuter des applications HTML peut servir à lancer des scripts malveillants sans générer d’alertes immédiates.
Cette liste ne cesse d’évoluer au fur et à mesure que les chercheurs découvrent de nouveaux détournements.
Les campagnes célèbres associées au LOTL
Plusieurs groupes de cyberespionnage ont popularisé les techniques LOTL.
Les campagnes attribuées à des groupes tels qu’APT29, APT41 ou Lazarus ont démontré une utilisation intensive des outils natifs des systèmes compromis.
Volt Typhoon, avis de l’agence américaine CISA AA24-038A, février 2024
Un groupe soutenu par l’État chinois s’est infiltré pour rester pendant au moins cinq ans dans différents réseaux stratégiques des USA. Les secteurs touchés furent les communications, l’énergie, les transports, ainsi que la distribution de l’eau, tout ce qu’il fallait pour déclencher une crise majeure…
L’avis présente l’usage d’outils présents dans les systèmes informatiques comme la signature du groupe.
Plus près de nous, en Suisse et dans les cas où nous sommes intervenus, nos propres enquêtes de réponse à incident ont révélé que les attaquants avaient passé plusieurs mois dans les environnements ciblés en utilisant principalement les outils énumérés auparavant, tous présents dans Windows à leur arrivée.
Et c’est justement cette difficulté de détection qui a souvent permis aux intrusions de rester invisibles pendant de longues périodes.
Pourquoi les solutions de sécurité traditionnelles ne suffisent plus
Les antivirus classiques reposent principalement sur l’identification de fichiers suspects.
Et dans une attaque LOTL, le fichier suspect n’existe parfois tout simplement pas.
Les commandes exécutées peuvent être parfaitement valides.
La menace ne réside plus dans l’outil utilisé mais dans la manière dont il est utilisé.
Cette évolution explique pourquoi les entreprises investissent désormais dans :
- l’analyse comportementale
- les solutions EDR (Endpoint Detection and Response)
- les plateformes XDR (Extended Detection and Response)
- les systèmes SIEM
- les mécanismes de Zero Trust
L’objectif est d’observer les comportements anormaux, notamment par analyse heuristique, plutôt que de rechercher uniquement des logiciels malveillants.
Ainsi, une exfiltration massive de données sera bloquée préventivement. De même que toutes tentatives de chiffrement conséquentes.
Pourtant, les attaquants ont déjà, dans une certaine mesure, trouvé la parade. Ils effectuent ces opérations par tout petits paquets de données, en restant en dessous du seuil de détection, quitte à y passer des mois…
Comment se protéger contre les attaques LOTL
La défense contre les attaques Living off the Land nécessite une approche différente de la protection traditionnelle.
Les organisations doivent d’abord renforcer leur visibilité sur les activités système. La journalisation avancée de PowerShell, la collecte d’événements Windows et la surveillance des mouvements latéraux deviennent essentielles.
Le principe du moindre privilège constitue également une barrière efficace. Plus les droits des utilisateurs sont limités, plus il devient difficile pour un attaquant d’exploiter les outils d’administration.
La segmentation du réseau réduit la capacité de propagation.
L’authentification multifacteur complique la compromission des comptes privilégiés.
Enfin, la détection comportementale permet d’identifier des séquences d’actions inhabituelles, même lorsqu’elles reposent uniquement sur des outils légitimes.
Conclusion : une menace appelée à durer
Les attaques Living off the Land incarnent l’évolution moderne de la cybercriminalité.
À mesure que les solutions de sécurité perfectionnent la détection des logiciels malveillants classiques, les cybercriminels privilégient des approches plus discrètes et plus difficiles à distinguer des activités normales.
Cette tendance explique pourquoi LOTL est aujourd’hui au cœur des préoccupations des équipes de cybersécurité, des centres opérationnels de sécurité (SOC) et des spécialistes de la réponse à incident.
Dans un contexte où la visibilité et l’analyse comportementale prennent le pas sur la simple détection de fichiers, les attaques Living off the Land représentent probablement l’une des formes les plus sophistiquées et les plus persistantes de la menace numérique actuelle.
