Living off the Land (LotL), la ciberamenaza del 2025

Originaria de la jerga survivalista, «vivir de la tierra» o Living off the Land (LotL) se ha convertido en una tendencia criminal creciente, al punto de ser señalada por los analistas como una de las principales amenazas del 2025. ¿En qué consiste y cómo opera?

Al igual que la ciberseguridad evoluciona, lo hacen las amenazas. Póngase por un instante en la cabeza de un cibercriminal y suponga que, en lugar de atacar las computadoras con virus tradicionales, ya muchos detectables, fuera posible usar las herramientas informáticas legales en contra de sus dueños. En esencia, esto es Living off the Land o LotL.

Aunque este término se relaciona originalmente con la comunidad survivalista y sus principios de vivir solamente con lo que la tierra produjera, en ciberseguridad este término empezó a popularizarse desde la conferencia de ciberseguridad estadounidense DerbyCon de 2013.

En esencia, Living off the Land aprovecha las utilidades y aplicaciones de confianza de un sistema informático, donde los atacantes pueden camuflarse eficazmente, lo que dificulta la identificación y mitigación de estas amenazas por parte de los servicios de seguridad tradicionales, explica el Center for Internet Security.

Y precisamente por ser difíciles de detectar, altamente adaptables y compatibles con la automatización, han crecido tanto que, según CrowdStrike, el 62% de los atacantes utilizaba herramientas o técnicas LotL en sus ataques de 2022. Y para 2025 esta cifra seguirá creciendo.

¿Cómo opera Living off the Land?

Como mencionamos, los ataques LotL aprovechan herramientas del sistema como PowerShell o WMI (Windows Management Instrumentation) para ejecutar acciones maliciosas. Con PowerShell, por ejemplo, se puede ejecutar código directamente en la memoria, evitando la detección por antivirus que generalmente se centra en los discos duros.

Otra técnica común dentro del LotL es aprovechar las vulnerabilidades dentro del sistema objetivo para obtener acceso no autorizado o ejecutar comandos. Dado que estas vulnerabilidades ya existen, los atacantes no necesitan crearlas desde cero ni utilizar técnicas de hacking complejas. En su lugar, simplemente pueden utilizar una vulnerabilidad conocida para obtener acceso.

Otra técnica LotL, y quizás la más clásica, es la de ocultar código malicioso dentro de archivos aparentemente benignos, como documentos PDF o de Word. Al abrir estos archivos, el usuario ejecuta sin saberlo el código malicioso, lo que permite al atacante tomar el control del sistema.

Diferencias entre LotL y el Fileless malware

Es importante no confundir LotL con otra tendencia, el «malware sin archivos» o Fileless malware. Aunque a menudo se usan indistintamente, existen diferencias clave entre el malware sin archivos y los ataques LotL.

En principio, el malware sin archivos es un subconjunto de las técnicas LotL. Mientras que los ataques LotL pueden utilizar malware sin archivos, también pueden emplear otras herramientas y técnicas del sistema para lograr sus objetivos.

Si quieres saber cómo desde Movistar Empresas te podemos ayudar a proteger la integridad de tus proyectos ingresa aquí.

Foto de Freepik