Detectando Ataques "Living Off the Land"

Monitore o uso suspeito de binários legítimos do Windows (LOLBins), incluindo certutil, mshta, rundll32, regsvr32 e outros usados em técnicas de ataque "fileless" e "living-off-the-land".

Quando Usar

• Construindo regras de detecção para plataformas SIEM ou EDR para capturar o abuso de LOLBin em tempo real
• Investigando alertas onde binários legítimos do sistema aparecem em contextos de execução inesperados
• Caçando ameaças em telemetria de endpoints para indicadores de ataque "fileless"
• Fortalecendo políticas de lista de permissões de aplicativos (AppLocker, WDAC) para restringir o uso perigoso de LOLBin
• Criando configurações do Sysmon ajustadas para capturar eventos de criação de processos relacionados a LOLBin
• Respondendo a incidentes onde adversários contornaram o AV usando apenas ferramentas nativas do sistema operacional

Não use para bloquear toda a execução de LOLBin; estas são ferramentas legítimas do sistema com usos administrativos válidos. A detecção deve focar no contexto anômalo (processo pai, argumentos de linha de comando, atividade de rede) em vez da simples presença do binário.

Pré-requisitos

• Sysmon v15+ instalado em endpoints Windows com uma configuração ajustada (base SwiftOnSecurity ou Olaf Hartong)
• Plataforma SIEM ingerindo IDs de Evento do Sysmon 1 (Criação de Processo), 3 (Conexão de Rede), 7 (Imagem Carregada), 11 (Criação de Arquivo)
• Encaminhamento de Logs de Eventos do Windows para IDs de Evento de Segurança 4688 (Criação de Processo com registro de linha de comando habilitado)
• Projeto LOLBAS como referência: https://lolbas-project.github.io/
• Python 3.8+ com evtx, pandas para análise offline de logs
• Repositório de regras Sigma para autoria de regras de detecção multiplataforma

Fluxo de Trabalho

Etapa 1: Implantar uma Configuração do Sysmon Focada em LOLBin

Crie uma configuração do Sysmon que capture os eventos de criação de processos e rede necessários para a detecção de LOLBin:

<!-- File: sysmon-lolbin-detection.xml -->
<Sysmon schemaversion="4.90">
  <EventFiltering>
    <!-- Process Creation: capture all LOLBin executions with full command lines -->
    <RuleGroup name="LOLBin Process Creation" groupRelation="or">
      <ProcessCreate onmatch="include">
        <Image condition="end with">certutil.exe</Image>
        <Image condition="end with">mshta.exe</Image>
        <Image condition="end with">rundll32.exe</Image>
        <Image condition="end with">regsvr32.exe</Image>
        <Image condition="end with">msbuild.exe</Image>
        <Image condition="end with">installutil.exe</Image>
        <Image condition="end with">cmstp.exe</Image>
        <Image condition="end with">wmic.exe</Image>
        <Image condition="end with">bitsadmin.exe</Image>
        <Image condition="end with">certreq.exe</Image>
        <Image condition="end with">esentutl.exe</Image>
        <Image condition="end with">expand.exe</Image>
        <Image condition="end with">extrac32.exe</Image>
        <Image condition="end with">findstr.exe</Image>
        <Image condition="end with">hh.exe</Image>
        <Image condition="end with">ie4uinit.exe</Image>
        <Image condition="end with">mavinject.exe</Image>
        <Image condition="end with">msiexec.exe</Image>
        <Image condition="end with">odbcconf.exe</Image>
        <Image condition="end with">pcalua.exe</Image>
        <Image condition="end with">presentationhost.exe</Image>
        <Image condition="end with">replace.exe</Image>
        <Image condition="end with">xwizard.exe</Image>
        <!-- PowerShell variants -->
        <Image condition="end with">powershell.exe</Image>
        <Image condition="end with">pwsh.exe</Image>
        <!-- Script hosts -->
        <Image condition="end with">cscript.exe</Image>
        <Image condition="end with">wscript.exe</Image>
      </ProcessCreate>
    </RuleGroup>

    <!-- Network connections from LOLBins (highly suspicious) -->
    <RuleGroup name="LOLBin Network" groupRelation="or">
      <NetworkConnect onmatch="include">
        <Image condition="end with">certutil.exe</Image>
        <Image condition="end with">mshta.exe</Image>
        <Image condition="end with">rundll32.exe</Image>
        <Image condition="end with">regsvr32.exe</Image>
        <Image condition="end with">msbuild.exe</Image>
        <Image condition="end with">bitsadmin.exe</Image>
        <Image condition="end with">expand.exe</Image>
        <Image condition="end with">esentutl.exe</Image>
        <Image condition="end with">replace.exe</Image>
      </NetworkConnect>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

…