Ejemplos de ataques que aprovechan herramientas legítimas del sistema (Living off the Land, LOTL)
Ejemplos de ataques que aprovechan herramientas legítimas del sistema (Living off the Land, LOTL)
Escrito por: Lizzie Danielson
Publicado: 30/7/2026
Las ciberamenazas nunca dejan de evolucionar. En lugar de introducir malware que active alertas de seguridad, los actores de amenazas usan cada vez más herramientas legítimas que ya están presentes en el entorno para sus propios fines. Estos ataques de living-off-the-land (LOTL), en los que los adversarios usan deliberadamente herramientas legítimas y confiables que ya existen en tu entorno en lugar de traer su propio malware, hacen que la actividad maliciosa sea mucho más difícil de distinguir de las acciones administrativas normales. Detectar estos ataques sofisticados requiere correlacionar la telemetría de todo el entorno usando herramientas como la Detección y respuesta para endpoints (EDR), la detección y respuesta de amenazas de identidad (ITDR) y la gestión de eventos e información de seguridad (SIEM). Pero el primer paso para detener los ataques LOTL es saber qué buscar. Desglosamos los tipos más comunes de ataques LOTL, y lo que puedes hacer para protegerte de ellos.
Una vez que un atacante obtiene acceso inicial (por ejemplo, mediante phishing, exploits o credenciales robadas), rápidamente cambia a técnicas de LOTL para la mayor parte del ciclo de ataque. Estas son algunas de las herramientas que los atacantes abusan con más frecuencia en campañas de LOTL (especialmente en Windows). .
Una herramienta simple pero potente de automatización de tareas y gestión de configuración, PowerShell es uno de los binarios más utilizados indebidamente en ataques de LOTL, como Huntress documentó en detalle al analizar malware de PowerShell convertido en arma.
PowerShell es útil para descargar payloads externos (por ejemplo, ransomware), ejecutar scripts maliciosos, recolectar credenciales y coordinar movimiento lateral. Además, los atacantes pueden codificar u ofuscar sus comandos para dificultar su inspección y detección.
WMI es un marco de gestión central de Windows que permite a los administradores consultar metadatos locales, modificar configuraciones del sistema y gestionar procesos en redes remotas. Los actores de amenazas convierten a WMI en arma para realizar reconocimiento, ejecutar comandos remotos en segmentos de red y establecer acceso persistente que sobrevive a los reinicios del sistema.
Esta utilidad de línea de comandos gestiona certificados de seguridad locales, verifica firmas digitales, configura Certificate Services y extrae configuraciones de esquema de CA. Como se confía en certutil.exe para descargar archivos (como actualizaciones de certificados) desde URL remotas, los atacantes abusan de ella para eludir firewalls de red y descargar payloads maliciosos. También se usa para codificar o decodificar archivos (a menudo ocultando malware dentro de archivos de texto codificados en Base64 que parecen inofensivos), lo que permite a los atacantes colar código cifrado más allá de las herramientas de seguridad.
Esta utilidad gestiona BITS, un servicio que asigna ancho de banda inactivo a transferencias de archivos en segundo plano para que las operaciones críticas (por ejemplo, Windows Update) no afecten el rendimiento de red del usuario. Aunque bitsadmin.exe está obsoleto en versiones modernas de Windows, los atacantes todavía abusan de BITS mediante PowerShell y las API de COM. Las transferencias de BITS son asíncronas, se reanudan automáticamente si se pierde la conexión y se ejecutan en segundo plano como un servicio del sistema confiable, todo lo cual lo convierte en una herramienta ideal para que los atacantes descarguen herramientas secundarias o exfiltren datos de forma sigilosa.
Windows usa de forma nativa esta utilidad de línea de comandos para registrar y anular el registro de controles de Object Linking and Embedding (OLE), incluidas las Dynamic Link Libraries (DLL), en el registro del sistema. Normalmente, regsvr32.exe busca archivos locales en el disco duro, pero los atacantes la manipulan para obtener y ejecutar scriptlets remotos sin escribir malware tradicional en el disco.
El núcleo de los ataques LOTL es que usan herramientas legítimas y confiables preinstaladas en los sistemas operativos. Las herramientas antivirus tradicionales históricamente se han enfocado en archivos y firmas maliciosos conocidos, tratando los binarios integrados del sistema operativo como confiables por defecto. Dado que estos binarios son esenciales para las tareas diarias de TI, la mayoría de las organizaciones no pueden simplemente bloquearlos o eliminarlos.
Además, la forma en que los atacantes usan estas herramientas a menudo se parece a la actividad administrativa estándar. Si un atacante ejecuta un script de PowerShell para recopilar datos de Active Directory o consulta hosts remotos usando WMI, los comandos y privilegios usados a menudo se ven casi idénticos a los de un administrador que realiza una auditoría de red. Establecer reglas de alerta simples para estos casos generaría una avalancha de falsos positivos.
Fundamentalmente, los ataques LOTL prosperan al no dejar huellas evidentes. Al ejecutar comandos directamente en la memoria del sistema (RAM), usar archivos confiables existentes y secuestrar sesiones de usuario activas, los adversarios evitan crear archivos físicos en el disco que las herramientas antivirus tradicionales podrían detectar.
Defenderse de las técnicas de vivir de la tierra requiere ir más allá de la detección basada solo en firmas, hacia un monitoreo conductual completo de endpoints, identidades y registros, que es justo donde herramientas como Managed EDR, Managed ITDR y Managed SIEM trabajan en conjunto. Huntress Managed EDR se centra en el comportamiento malicioso de procesos, puntos de apoyo persistentes, indicadores de ransomware y movimiento lateral en endpoints, mientras que Managed ITDR se enfoca en el abuso de identidad en Microsoft 365 y Google Workspace. Managed SIEM luego centraliza estas señales junto con registros de firewall, VPN y otros para reconstruir campañas LOTL de principio a fin.
Las estrategias de ciberseguridad para vivir de la tierra requieren alejarse de la detección basada solo en firmas hacia el monitoreo conductual. EDR e ITDR trabajan juntos para correlacionar la actividad de endpoints e identidades. Junto con la correlación centralizada de registros de una herramienta SIEM, los equipos de seguridad pueden detectar las señales sutiles de LOTL, como:
Los defensores pueden configurar un registro detallado en herramientas de monitoreo del sistema como Sysmon, enfocándose en patrones específicos dentro de comandos administrativos. Estos incluyen:
Como todo proceso ejecutado en un sistema operativo es generado por un proceso padre, las herramientas de monitoreo pueden enfocarse en linajes anómalos, entre ellos:
No toda actividad LOTL está camuflada de la misma manera: el contexto importa mucho. Por ejemplo, PowerShell ejecutándose en la estación de trabajo de un usuario no técnico es mucho más sospechoso que la misma herramienta ejecutándose en la máquina de un administrador de TI. Otras anomalías incluyen grandes volúmenes de ciertos procesos (como consultas de descubrimiento de red) combinados con factores como la hora del día (fuera del horario laboral) o conexiones de red inusuales (especialmente a direcciones IP públicas o puertos no estándar).
Los equipos de seguridad pueden detectar el movimiento lateral rastreando la actividad de red vinculada a binarios administrativos. Las señales clave incluyen actividad de administración remota basada en SMB, particularmente técnicas que aprovechan recursos compartidos administrativos o herramientas muy usadas como PsExec de la suite Sysinternals.
Huntress Managed EDR + ITDR ayuda a detectar comportamientos sospechosos de tipo living-off-the-land mediante el monitoreo de cómo se usan las herramientas legítimas. Nuestro agente EDR liviano monitorea continuamente la ejecución de procesos, los cambios en el registro y los mecanismos de persistencia en los endpoints. ITDR monitorea señales de identidad comprometida, que con frecuencia dan acceso inicial. Respaldado por el centro de operaciones de seguridad (SOC) inpulsado por IA de Huntress, disponible 24/7, Huntress permite a los equipos de seguridad identificar y responder a procesos maliciosos, aislar dispositivos, deshabilitar cuentas comprometidas y revocar sesiones activas.
Descubre más sobre cómo la Huntress Agentic Security Platform ayuda a defenderse de los ataques LOTL.
Recursos adicionales
Aprende qué es el software como servicio (SaaS), cómo funciona y las consideraciones clave de ciberseguridad para una implementación segura de SaaS en tu organización.
Descubre cómo los actores de amenazas evaden la visibilidad de endpoints, ocultan la ejecución y abusan de herramientas legítimas, y cómo Huntress Managed EDR te ayuda a investigar y responder.
Aprende sobre el estándar de cifrado avanzado (AES), un protocolo de cifrado de primer nivel confiable para proteger datos sensibles. Explora su historia, funcionalidad, características y aplicaciones prácticas.
