Immer mehr Angreifer, sowohl Nationalstaaten als auch Cyberkriminelle, verzichten soweit möglich auf den Einsatz von Schadsoftware. Stattdessen nutzen sie vorhandene Werkzeuge, die vom Betriebssystem mitgeliefert werden oder von dessen Hersteller digital signiert sind. Diese Technik ist seit einigen Jahren bekannt als „Living of the Land“ – abgekürzt LOTL; Varianten davon sind LOLbins und LOLBAS.
Inzwischen nutzen Angreifer auch legitime Werkzeuge zur Fernwartung wie Anydesk oder TeamViewer in bösartiger Absicht.
Dadurch sinkt die Wahrscheinlichkeit, dass Antiviren- oder auch EDR-Software Alarm schlägt. Alternative Methoden zum Entdecken eines Einbruchs gewinnen an Bedeutung. Auch werden Präventionsmaßnahmen wie Inventarisierung und Application Allowlisting wichtiger – die richtig angegangen nicht viel Aufwand bedeuten müssen.