Gli attacchi living-off-the-land sono operazioni malevole che utilizzano strumenti legittimi già installati in un sistema, come shell di comando, motori di scripting, utilità di gestione remota o funzionalità amministrative integrate. Poiché questi strumenti sono affidabili e comuni, il loro uso può confondersi con l'attività normale ed evitare semplici rilevamenti basati su software.
Questi attacchi sono importanti perché riducono la necessità per gli aggressori di introdurre malware personalizzato. Questo li rende più difficili da individuare, favorisce movimenti laterali furtivi e può aiutare gli operatori di ransomware a disabilitare le difese, raccogliere credenziali o predisporre file, il tutto sembrando una normale attività di amministrazione. I difensori rispondono monitorando comportamenti insoliti della riga di comando, limitando gli strumenti amministrativi, utilizzando il controllo delle applicazioni o le allowlist e generando avvisi su combinazioni sospette di binari affidabili, script e attività di rete. In pratica, il pericolo non è lo strumento in sé, ma come viene usato, quando e da chi.