【LOLBAS鐵人賽Day1】揭開Living Off The Land攻擊的神秘面紗

#什麼是LOLBAS？

LOLBAS的全名是「Living Off The Land Binaries, Scripts and Libraries」，
中文可以翻譯成「就地取材」。
這個概念是指攻擊者利用目標系統中既有的合法工具、腳本或程式庫來執行惡意活動，
而且不需要額外安裝或下載惡意軟體。

白話一點，就是 用你自己的工具來攻擊你。

#Living Off The Land的核心理念

#1. 隱蔽性

傳統的惡意軟體需要被投放到目標系統中，
過程其實很容易被防毒軟體或安全監控系統偵測到。
但LOLBAS技術使用的都是系統內建的合法工具，
這些工具本身不會被標記為惡意程式，
所以大幅降低了被發現的機率。

#2. 無檔案攻擊（Fileless Attack）

許多LOLBAS攻擊完全在記憶體中執行，
不會在硬碟上留下惡意檔案，
所以傳統基於檔案掃描的安全解決方案就會變得很難偵測。

#3. 繞過白名單機制

就像前面說的，
LOLBAS使用的都是系統合法程式，
即使目標有設應用程式白名單，
這些工具通常也在允許執行的清單中。

#為什麼LOLBAS如此危險？

#傳統攻擊 vs LOLBAS攻擊對比

#合法性掩護

下面這些工具都是Microsoft官方提供或系統管理員日常使用的合法程式，它們的執行不會觸發安全警報：

#功能強大

許多系統內建工具能做到的事情很多，攻擊者用LOLBAS可以達到這些事：

• 下載檔案
• 執行代碼
• 建立持久性機制
• 繞過安全限制

#難以防範

由於這些工具是系統正常運作所必需的，企業很難完全禁用它們，只能透過監控和限制使用方式來降低風險。

#LOLBAS的常見分類

#LOLBAS項目的誕生

為了幫助資安人員更好了解和防範這類攻擊，
安全研究社群創建了LOLBAS Project（https://lolbas-project.github.io/），
這是一個開源專案，
收集和整理了各種可被惡意利用的Windows系統內建工具。

#項目功能與貢獻

這個專案的目標是：

• 提供詳細的工具濫用技術說明
• 幫助藍隊了解潛在的攻擊向量
• 協助紅隊進行滲透測試
• 推動更好的檢測和防護機制

#真實世界的威脅

LOLBAS技術不是單純的理論概念，在真實的網路攻擊中它們也被廣泛使用：

#威脅行為者使用情況

公開的威脅情資報告普遍指出，各類威脅行為者都大量使用LOLBAS技術。
以下是依常見公開研究整理的定性觀察（非精確統計數字）：

#知名APT組織使用案例

#小結

Living Off The Land攻擊代表了現代網路威脅的一個重要發展方向。
攻擊者不再依賴複雜的惡意軟體，
而是巧妙地利用目標系統中既有的工具來達成攻擊目標。

#參考資源

• LOLBAS Project
• MITRE ATT&CK Framework
• Microsoft Security Blog