LOTL 기존 도구 악용

LOTL은 시스템에 이미 있거나 정상 업무에 쓰이는 도구와 기능을 공격에 악용하는 방식을 뜻합니다. 새로운 악성 실행 파일이 없다는 사실이 안전을 보장하지 않는 이유를 설명합니다.

같은 관리 도구도 누가 어떤 권한과 목적으로 사용했는지에 따라 의미가 달라집니다. 파일 이름이나 서명만 확인하기보다 실행 관계, 계정과 접속 기록 등 행위의 맥락을 살펴야 합니다.

정상 관리 프로그램이 업무 시간 밖에 평소와 다른 계정으로 여러 장비에 접근했다면 조사할 이유가 됩니다. 도구의 존재 자체와 실제 악용이 확인된 상태는 구분합니다.

LOTL은 도구와 기능을 악용하는 넓은 방식이고 LOLBin은 그 과정에 사용되는 기존 실행 파일을 가리킵니다. 모든 LOTL 활동이 악성코드 파일이 없는 형태이거나 모든 정상 도구 사용이 LOTL 공격인 것은 아닙니다.

이 정의를 이유로 정상 관리 기능을 일괄 삭제하거나 업무를 차단하지 않습니다. 허용된 관리 기준과 기록을 바탕으로 탐지하며 구체적인 공격 실행 방법은 제공하지 않습니다.

LOLBin 악용될 수 있는 기존 실행 파일

LOLBin은 LOTL 문맥에서 공격자가 악용할 수 있는 기존 실행 파일을 가리킵니다. 해당 파일이 본래 악성코드라는 뜻은 아닙니다.

운영체제나 정상 관리 환경에 있는 실행 파일도 허용되지 않은 목적으로 사용될 수 있습니다. 파일의 신뢰성과 실제 실행 행위의 적절성을 따로 확인해야 합니다.

정상 도구가 승인되지 않은 계정에서 평소와 다른 대상으로 실행됐다면 조사 단서가 됩니다. 이름이 알려진 도구라는 이유만으로 공격을 확정하거나 안전하다고 판단하지 않습니다.

LOTL은 넓은 악용 방식이고 LOLBin은 실행 파일에 초점을 맞춘 표현입니다. 문헌에는 복수형 LOLBins 또는 LOLBINs도 사용되며 별도의 제품 버전을 뜻하지 않습니다.

탐지는 사용 계정과 목적, 실행 관계와 연결 기록을 함께 살펴야 합니다. 정상 관리 도구의 무조건적인 삭제나 구체적인 악용 명령은 이 용어 설명에 포함하지 않습니다.

함께 이해할 용어: LOTL 기존 도구 악용, Lateral movement 내부 이동, Sigma 시그마 로그 탐지 규칙