LOLBin / LOLBAS.

Подписанный системный бинарь или скрипт (LOLBin/LOLBAS), который атакующие используют для исполнения, загрузки, закрепления или обхода защит, выглядя при этом как штатный администраторский инструмент. Относится к категории Атаки и угрозы в кибербезопасности.

Подписанный системный бинарь или скрипт (LOLBin/LOLBAS), который атакующие используют для исполнения, загрузки, закрепления или обхода защит, выглядя при этом как штатный администраторский инструмент.

LOLBin (Living-Off-the-Land Binary) и более широкий проект LOLBAS (Living-Off-the-Land Binaries And Scripts) каталогизируют подписанные Microsoft бинарные файлы, скрипты и библиотеки, побочные эффекты которых полезны для наступательных операций: исполнение произвольного кода, загрузка удалённой полезной нагрузки, обход контроля приложений. Типичные примеры — rundll32.exe, regsvr32.exe, mshta.exe, msbuild.exe, installutil.exe и certutil.exe. Поскольку каждый такой инструмент подписан и доверен, защитники не могут просто блокировать по хешу — нужно различать ожидаемые и аномальные командные строки. LOLBAS лежит в основе многих техник execution и defense evasion из MITRE ATT&CK. Защита опирается на allow-list приложений, журналирование ScriptBlock и создания процессов, правила ASR и поведенческую аналитику EDR.

Защита от LOLBin / LOLBAS обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: LOLBAS, Living-off-the-Land Binary.