Методика Living off the Land (LotL), подразумевающая задействование легитимных инструментов в ходе кибератак, набирает все большую популярность при атаках на банки. Специалисты «Кросстеха» отмечают, что в первые шесть месяцев 2026 года до 80% всех вторжений в банковские системы содержали элементы LotL, тогда как годом ранее за тот же период доля подобных инцидентов составляла 60%.
Киберпреступники отказываются от применения собственных вредоносных программ (ВПО), чтобы не быть обнаруженными средствами защиты информации. Вместо этого они используют «нативные» системные утилиты администраторов, которые уже присутствуют на компьютере, являются доверенными для операционной системы и одобрены администраторами безопасности.
К числу легитимных инструментов, применяемых хакерами, относятся: стандартные утилиты Windows (например, WMI), административные сервисы и скрипты, средства удаленного доступа (в частности, RDP), облачные и сторонние CLI-инструменты и прочее. Злоумышленники могут использовать эти легитимные средства на всех этапах атаки: при разведке, для сбора сведений о системе и сети, при выполнении команд, при горизонтальном перемещении, при похищении данных и их выносе за границы инфраструктуры и так далее.
Рост популярности LotL-атак на банковский сектор во многом обусловлен усилением мониторинга в банках – внедрение EDR, NDR, SIEM-систем делает выявление ВПО быстрым и эффективным. Именно для повышения скрытности злоумышленники все чаще выбирают «тихие» тактики, в том числе LotL. В таком случае средства мониторинга не будут распознавать значительную часть действий преступников как подозрительные.
«Доля LotL-атак неуклонно растет, а их количество увеличивается еще быстрее, поскольку атаки на банки становятся все более интенсивными. Отдельно стоит упомянуть APT-группировки – использование легитимных инструментов для профессиональных хакеров является хорошо освоенной тактикой, поэтому в APT-атаках доля LotL превышает 90%», – заявил Ильдар Галиев, руководитель направления «Развитие услуг» «Кросстеха».
