Detecção de Living Off the Land com LOLBAS

Visão Geral

Binários, Scripts e Bibliotecas Living Off the Land (LOLBAS) são utilitários legítimos do sistema abusados por atacantes para executar ações maliciosas enquanto evitam a detecção. Esta habilidade abrange a detecção de abuso de certutil.exe, regsvr32.exe, mshta.exe, rundll32.exe, msbuild.exe e outros LOLBins usando telemetria de processos do Sysmon e Logs de Eventos do Windows, combinada com detecção baseada em regras Sigma.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de living off the land com lolbas
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Sysmon ou Log de Segurança do Windows (ID de Evento 4688) com registro de linha de comando ativado
• Ferramenta de conversão de regras Sigma (sigmac ou sigma-cli)
• Plataforma SIEM (Splunk, Elastic ou similar) para ingestão de logs
• Python 3.8+ com a biblioteca pySigma
• Banco de dados de referência do projeto LOLBAS

Passos

1. Estabelecer Lista de Observação de LOLBin — Construir uma lista priorizada de binários monitorados (certutil, mshta, regsvr32, rundll32, msbuild, installutil, cmstp, wmic, bitsadmin)
2. Coletar Telemetria de Processos — Ingerir Sysmon Event ID 1 (Process Create) e eventos Windows 4688 com captura completa da linha de comando
3. Construir Regras de Detecção Sigma — Criar regras Sigma que correspondam a argumentos de linha de comando suspeitos, atividade de rede e anomalias de processos pai-filho para cada LOLBin
4. Analisar Relações Pai-Filho — Sinalizar processos pai inesperados que geram LOLBins (por exemplo, Excel gerando certutil, Word gerando mshta)
5. Pontuar e Priorizar Alertas — Aplicar pontuação de risco com base na anomalia de argumentos, processo pai, caminho de execução e indicadores de rede
6. Gerar Relatório de Detecção — Produzir um relatório estruturado de todas as detecções de abuso de LOLBin com mapeamento MITRE ATT&CK

Saída Esperada

• Relatório JSON listando eventos de abuso de LOLBin detectados com pontuações de severidade
• Mapeamento de técnica MITRE ATT&CK para cada detecção (T1218, T1105, T1140, T1127)
• Análise de anomalia de processos pai-filho
• Detalhes da correspondência da regra Sigma com dados brutos do evento