{"id":2622,"date":"2026-09-18T19:49:45","date_gmt":"2026-09-18T19:49:45","guid":{"rendered":"https:\/\/resguardodigital.cl\/?p=2622"},"modified":"2026-09-18T19:49:45","modified_gmt":"2026-09-18T19:49:45","slug":"como-se-realiza-un-ataque-living-off-the-land-lotl","status":"publish","type":"post","link":"https:\/\/resguardodigital.cl\/?p=2622","title":{"rendered":"C\u00f3mo se realiza un ataque Living off the Land (LotL)"},"content":{"rendered":"\n<p class=\"wp-block-paragraph\">Los ciberdelincuentes no siempre se sirven de herramientas maliciosas desarrolladas por ellos mismos o alquiladas a otros cibermalos para sus ataques, sino que pueden utilizar las propias herramientas de las organizaciones para volverlas a su favor. Es lo que se conoce como <strong>&#8216;ataques Living Off the Land (LOTL)&#8217;.<\/strong><br><a href=\"https:\/\/www.google.com\/preferences\/source?q=escudodigital.com\" target=\"_blank\" rel=\"noopener\"><\/a><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">As\u00ed, los piratas inform\u00e1ticos pueden mezclarse con la actividad normal del sistema, lo que <strong>dificulta mucho la detecci\u00f3n por parte de antivirus tradicionales<\/strong> o soluciones de endpoint. Estos incidentes se pueden observar en m\u00faltiples entornos, como Windows, MacOS, Linux, as\u00ed como ambientes h\u00edbridos y nubes.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un gran n\u00famero de ciberataques modernos, incluyendo algunos atribuidos a grupos patrocinados por estados, emplean estas t\u00e9cnicas para <strong>mantener un acceso persistente y operar de forma sigilosa<\/strong>, especialmente en entornos complejos o infraestructuras cr\u00edticas.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">El problema es que muchas organizaciones no cuentan con registros (logs) detallados ni herramientas de an\u00e1lisis de comportamiento bien afinadas, lo que impide distinguir con precisi\u00f3n entre una actividad leg\u00edtima y una acci\u00f3n maliciosa disfrazada. As\u00ed lo pone de manifiesto <a href=\"https:\/\/www.cisa.gov\/sites\/default\/files\/2024-05\/Joint-Guidance-Identifying-and-Mitigating-LOTL_V3508c_ES.pdf\">un informe<\/a> sobre ataques LOTL elaborado por la CISA, la NSA y el FBI, en colaboraci\u00f3n con varios centros de ciberseguridad de pa\u00edses aliados a EE.UU, como Reino Unido, Australia, Canad\u00e1 y Nueva Zelanda.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Tipos de ataques LOTL<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Un an\u00e1lisis, de m\u00e1s de 700.000 incidentes mostr\u00f3 que aproximadamente <strong>el 84\u202f% de los ataques m\u00e1s graves empleaban LOTL.&nbsp;<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">En el mencionado documento auspiciado por las autoridades de EE.UU. se puede encontrar una <strong>clasificaci\u00f3n de los Living Off the Land<\/strong> seg\u00fan la funci\u00f3n que cumplen en la cadena de ataque.&nbsp;<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>La primera categor\u00eda es la de los <strong>LOLBins<\/strong>, binarios nativos del sistema que pueden ser manipulados para ejecutar c\u00f3digo o tareas maliciosas, como PowerShell, rundll32.exe, regsvr32.exe o certutil.exe en Windows; osascript y launchctl en macOS; y bash, curl, wget o ssh en Linux.\u00a0<\/li>\n\n\n\n<li>Otra categor\u00eda son los <strong>LOLScripts<\/strong>, scripts y lenguajes interpretados preinstalados que pueden ejecutar tareas de persistencia, movimiento lateral o exfiltraci\u00f3n de datos sin generar archivos nuevos, incluyendo PowerShell, VBScript, Python, Perl o Bash.\u00a0<\/li>\n\n\n\n<li>Tambi\u00e9n existen t\u00e9cnicas para persistencia mediante tareas programadas o modificaci\u00f3n de servicios, y para movimiento lateral, usando WMI, PsExec, PowerShell Remoting o SSH. Finalmente, los atacantes usan estas herramientas para exfiltrar informaci\u00f3n o comunicarse con servidores de comando de forma que pasa desapercibida.<\/li>\n<\/ul>\n\n\n\n<h2 class=\"wp-block-heading\">C\u00f3mo protegerse<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">El <strong>proyecto LOLBAS<\/strong> (Living Off the Land Binaries and Scripts), alojado en Github,&nbsp;<a href=\"https:\/\/lolbas-project.github.io\/\">documenta<\/a> <strong>m\u00e1s de 200 binarios, scripts y bibliotecas en Windows que pueden ser abusados por atacantes<\/strong>. No es una iniciativa corporativa ni de una agencia oficial, sino un proyecto comunitario liderado por varios expertos en seguridad en su tiempo libre.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Su funci\u00f3n es servir como referencia para <a href=\"https:\/\/www.escudodigital.com\/ciberseguridad\/que-es-red-team-blue-team-ciberseguridad.html\">equipos de seguridad defensiva (blue team), ofensiva (red team)<\/a> y para investigadores, ayud\u00e1ndoles a <strong>entender qu\u00e9 herramientas del sistema pueden ser utilizadas de forma maliciosa<\/strong> y c\u00f3mo mapearlas a t\u00e9cnicas como las del marco MITRE ATT&amp;CK.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">LOLBAS fue iniciado originalmente en 2018 con base en investigaciones de la comunidad sobre el abuso de herramientas del sistema y ha crecido hasta convertirse en un recurso est\u00e1ndar de facto en la industria de la ciberseguridad.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto es solo un recurso, pero las empresas deben &#8216;hacer los deberes&#8217;. <strong>Para protegerse, las autoridades instan a los fabricantes de software a mejorar sus productos incorporando principios de seguridad por dise\u00f1o<\/strong>.&nbsp;<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Esto significa que las herramientas y plataformas deber\u00edan ofrecer configuraciones seguras por defecto, registros ricos en detalles sin costo adicional para los usuarios, y reducir las funciones que pueden ser explotadas f\u00e1cilmente por atacantes que usan LOTL.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Los ciberdelincuentes no siempre se sirven de herramientas maliciosas desarrolladas por ellos mismos o alquiladas a otros cibermalos<\/p>\n","protected":false},"author":1,"featured_media":2623,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2622","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts\/2622","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2622"}],"version-history":[{"count":1,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts\/2622\/revisions"}],"predecessor-version":[{"id":2624,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/posts\/2622\/revisions\/2624"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=\/wp\/v2\/media\/2623"}],"wp:attachment":[{"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2622"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2622"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/resguardodigital.cl\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2622"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}