LOLBin / LOLBAS.

LOLBin (Living-Off-the-Land Binary) и более широкий проект LOLBAS (Living-Off-the-Land Binaries And Scripts) каталогизируют подписанные Microsoft бинарные файлы, скрипты и библиотеки, побочные эффекты которых полезны для наступательных операций: исполнение произвольного кода, загрузка удалённой полезной нагрузки, обход контроля приложений. Типичные примеры — rundll32.exe, regsvr32.exe, mshta.exe, msbuild.exe, installutil.exe и certutil.exe. Поскольку каждый такой инструмент подписан и доверен, защитники не могут просто блокировать по хешу — нужно различать ожидаемые и аномальные командные строки. LOLBAS лежит в основе многих техник execution и defense evasion из MITRE ATT&CK. Защита опирается на allow-list приложений, журналирование ScriptBlock и создания процессов, правила ASR и поведенческую аналитику EDR.