サイバー攻撃の手口はますます巧妙化・高度化し、脅威をステルス化する (検知しにくくする) ようなテクニックが使われることも増えています。「Living Off The Land（LotL）」も、脅威をステルス化する攻撃手法の一つです。

不正なマルウェアだけが脅威とは限らない

LotL攻撃とは、攻撃対象のシステムに存在している正規のツールやコマンド、あるいは外部から持ち込んだ正規のツールを悪用する攻撃手法です。もともとLiving Off The Landは食糧や軍事物資などを現地調達するという意味の軍事用語で、LotL攻撃のことを日本語で「環境寄生型攻撃」「自給自足型攻撃」「現地調達型攻撃」などと呼ぶこともあります。

正規のツールやコマンドを使用するため、不正なマルウェアを用いた攻撃よりも監視や調査での検知が難しくなっています。また、痕跡が残らないような不正工作のテクニックと複合的に実行されることも多く、脅威のステルス化はますます高度になっています。

脅威のステルス化によって、攻撃者はサイバー攻撃に時間をかけられるようになります。システムの管理者が通常の業務を遂行するように見せかけて情報を窃取（せっしゅ）し、必要に応じて外部から不正工作に用いるツールをダウンロードしてインストールします。また、ログなどの痕跡を削除して検知を遅らせ、他のシステムへのサイバー攻撃を実行するための踏み台にすることも可能です。

どのようなツールやコマンドが悪用されるのか

実際にLotL攻撃では、さまざまなツールやコマンドが不正な目的のために悪用されます。

Windows環境では「PowerShell」などが代表的な例として挙げられますが、他にも「rundll32.exe」「Windows Management Instrumentation（WMI）」「findstr.exe」「certutil.exe」などの名前が挙がることもあります。

外部の正規ツールが悪用される例も少なくありません。過去のランサムウェア事例では、リモートアクセスツールやペネトレーションツールが悪用されたケースが多いのですが、中には不正プログラムを検出するオープンソースのツールを悪用し、他のセキュリティ機能を停止させる手法も観測されています。

また、クラウドストレージとの同期ツールを用いて、窃取した機密データを外部に持ち出すという事例も散見されます。

OSの標準的なツールやコマンド、あるいは正規のツールを悪用する攻撃が検知しにくい理由は、「その操作がサイバー攻撃によるものなのか」がログを見ただけで判断することが難しいという点にあります。本来の目的で使用されている可能性も否定できないため、システムログ、周辺機器のログ、セキュリティ対策ツールのログなどを突き合わせて、攻撃の可能性の有無を判断しなければなりません。こうした不正検知方法は「コンテクスト（文脈）による検知」などと呼ばれています。

世界中でLotL攻撃への注意を呼びかけている

LotL攻撃そのものは、以前から高度なサイバー攻撃の手法として知られていました。しかし近年では国家の関与が疑われるサイバー攻撃集団がLotL攻撃を用いるようになったことで、米国DHS (Department of Homeland Security：国土安全保障省) の外局機関であるCISA (Cybersecurity and Infrastructure Security Agency：サイバーセキュリティ・社会基盤安全保障庁) を始めとする多くのセキュリティ関連組織から注意喚起がなされています。

日本国内においても、2024年6月にJPCERT/CC (JPCERT コーディネーションセンター)が、日本の組織も対象としたLotL攻撃手法を用いたサイバー攻撃キャンペーン「Operation Blotless」について注意喚起しています。この攻撃キャンペーンの実行者は、2023年にMicrosoftが注意喚起した中国系APTアクター (国家などの関与が疑われる高度なサイバー犯罪組織) である「Volt Typhoon」であると推測しています。

JPCERT/CCでは、LotL攻撃に対する短期的と中長期的な対処策を次のように述べています。

短期的な対処

ドメインコントローラーでのログなどの調査
Webサーバーやネットワーク機器などへのWebshell設置有無の調査
リバースプロキシツールの調査
SSL-VPN機器などにおけるログ調査や管理者権限アカウントの調査

中長期的な対処

攻撃の侵入経路になり得るインターネットに接続されたアプライアンス（SSL-VPN等）の設定や運用の点検
Active Directoryの各種ログ保存設定の見直し、侵害兆候に関するアラート設定等の導入
管理者権限の棚卸し

Operation Blotless攻撃キャンペーンに関する注意喚起 (JPCERT/CC)
https://www.jpcert.or.jp/at/2024/at240013.html

【セキュリティ用語の基礎知識】KADOKAWAを襲ったサイバー犯罪集団「 BlackSuit 」とは
https://hypervoice.jp/what_BlackSuit

まとめ

Living Off The Land（LotL）では、正規のツールやコマンドを悪用する
正規のツールやコマンドを悪用するため、不正操作なのかどうかが判断しにくい
世界的にLotL攻撃への注意喚起がなされている