Les attaques "Living off the Land" (LoL) et "fileless" sont des techniques qui exploitent les outils natifs d’un système pour agir sans laisser de traces évidentes. Voici pourquoi c’est un cauchemar pour la détection classique – et comment ça fonctionne en pratique.

🤫Living off the Land (LoL) : se fondre dans le bruit légitime
L’idée ? Utiliser des outils déjà présents sur la machine (PowerShell, WMI, schtasks, certutil, etc.) pour mener des actions malveillantes sans installer de malware. Exemples concrets :
- Télécharger/exécuter du code en mémoire via PowerShell
- Exfiltrer des données avec bitsadmin (un outil Microsoft légitime)
- Persister via des tâches planifiées ou des clés de registre
→ Résultat : les antivirus basés sur les signatures ne voient rien, car tout semble "normal".

🔎 Attaques fileless : pas de fichier = pas de trace ?
Ici, le code malveillant est uniquement en mémoire (scripts, macros, registre) ou abuse de binaires de confiance. Techniques courantes :
- Chargement de DLL en mémoire (reflective loading)
- Macros Office qui lancent des scripts PowerShell
- Malware résident dans le registre Windows
→ Problème pour les défenseurs : les outils traditionnels (scans de fichiers) sont aveugles.

❓Pourquoi c’est stratégique ?
- Furtivité : Moins d’artefacts = intrusions longues (ex : campagnes APT restant des mois/années sans détection).
- Économie : Pas besoin de développer des malwares custom (on réutilise ce qui existe déjà).
- Contournement : Les EDR/antivirus centrés sur les fichiers sont moins efficaces.

🧠Ressources pour creuser (merci aux projets open source !) :
- GTFOBins : Outils Linux/Unix → https://gtfobins.github.io/
- LOLBAS : Outils Windows → https://lolbas-project.github.io/
- LOLESXi : Binaries VMware ESXi → https://lolesxi-project.github.io/LOLESXi/
- MalAPI : Mapping des APIs Windows → https://malapi.io/
- GTFOArgs : Abus d’arguments de binaires Unix (argument injection) → https://gtfoargs.github.io/
- LOLDrivers : Drivers Windows → https://www.loldrivers.io/
- LOLApps : Applications (built‑in & tierces) détournées → https://lolapps-project.github.io/
- LOOBins : Binaries intégrés macOS → https://www.loobins.io/
- LOLCerts : Certificats → https://github.com/ReversecLabs/lolcerts
- LOLAD : Techniques et commandes Active Directory natives → https://lolad-project.github.io/
- LOTLWeb : Domaines web → https://lots-project.com/

En pratique, comment se protéger ?

- Blue Team : Journaliser tout (PowerShell, WMI, tâches planifiées), whitelisting strict, analyse comportementale.
- Red Team : Tester ces techniques pour identifier les failles de détection.

💡 Le vrai défi ? Passer d’une sécurité basée sur les signatures à une approche comportementale et contextuelle.

#Cybersécurité #RedTeam #BlueTeam #LivingOffTheLand #FilelessAttacks #PowerShell #WMI #APT #DéfenseCyber #Pentest

Wiz Research team recently detected a new fileless attack targeting cloud workloads. The attack consists of Python code that loads an XMRig Miner directly into memory using memfd, a known Linux fileless technique: https://www.wiz.io/blog/pyloose-first-python-based-fileless-attack-on-cloud-workloads

#linuxsecurity #filelessattacks #xmrig #malware #jupyternotebook

Shout out to Malwarebytes Labs team for this #readoftheday! I am a huge fan of anything Living-off-the-land binaries (#LOLBINS) and I this article provides a great description of what they are and how #filelessattacks compare and contrast. Enjoy and Happy Hunting!

Fileless attacks: How attackers evade traditional AV and how to stop them
https://www.malwarebytes.com/blog/business/2023/04/fileless-attacks-how-attackers-evade-traditional-av-and-how-to-stop-them

#CyberSecurity #ITSecurity #InfoSec #BlueTeam #ThreatIntel #ThreatHunting #ThreatDetection #HappyHunting