LotL攻撃（Living off the Land／環境寄生型攻撃）

LotL攻撃（環境寄生型攻撃）とは、マルウェアを使わない、あるいはマルウェアへの依存を最小限に抑え、標的システム内に組み込まれている正規のツールや機能等を用いて行われるサイバー攻撃のことを指します。「Living off the Land」を略した用語で、「システム内寄生攻撃」などとも呼ばれます。特に近年は、中国との関連が指摘されるAPTグループがLotLを積極的に採用していることが知られています。

一般的なサイバー攻撃では、標的システムへの侵入後、マルウェアなどの悪意あるソフトウェアやプログラムを使ってデータ窃取などの活動が行われます。一方LotL攻撃では、「環境寄生型攻撃」という日本語訳からも想像できるように、標的環境内に元々備わっている正規の管理ツールやコマンド、機能、プロセスなどを悪用して認証情報の窃取やシステム情報の収集などを実施します。正規の管理ツールを利用するため、通常の管理者による操作と攻撃者の活動を区別することが難しい点が、LotL攻撃の大きな特徴です。

LotL攻撃で悪用されるこうした正規ツール類は、「LOLBins（Living off the Land Binaries）」と呼ばれることがあります。LOLBinsは環境内にすでにデプロイされ、信頼されているバイナリであることから、攻撃者は、LOLBinsを使用すれば自らの不正な活動を正規のシステム挙動に紛れ込ませることができます。LOLBinsの代表例としては、PowerShell、Windows Management Instrumentation（WMI）、PsExec、certutilなどが知られています。LOLBinsは正規ツールであることからセキュリティ製品から信頼されやすいため、悪意ある活動が検出されたりブロックされたりする可能性が下がることになります。また攻撃者からすれば、独自ツールの開発・展開に資金や労力を割く必要がない点もメリットの1つです。

LotL攻撃は、オンプレミス環境、クラウド環境、ハイブリッド環境、Windows環境、Linux環境、macOS環境など、多様な環境に対して有効であることが知られています。実際に観測されている攻撃はWindows環境に対するものが多くを占め、ネイティブツールやサービス、機能の悪用が報告されています。

なお、macOS環境に対するLotL攻撃は、「living off the orchard」攻撃と呼ばれることもあります。またliving off the orchard攻撃で悪用されるネイティブスクリプティング環境やビルトインツール、システム構成設定、バイナリなどは「LOOBins」と呼ばれています。