Caçando Execuções de LOLBins em Logs de Endpoint

Quando Usar

• Ao caçar técnicas de ataque "fileless" que abusam de binários nativos do Windows.
• Após inteligência de ameaças indicar campanhas baseadas em LOLBins visando sua indústria.
• Ao investigar alertas de uso suspeito de certutil, mshta, rundll32 ou regsvr32.
• Durante exercícios de "purple team" testando a detecção de técnicas de evasão de defesa.
• Ao avaliar a cobertura de detecção de endpoint para sub-técnicas do MITRE ATT&CK T1218.

Pré-requisitos

• Sysmon Event ID 1 (Criação de Processo) com log completo da linha de comando.
• Windows Security Event ID 4688 com auditoria de linha de comando habilitada.
• Telemetria de EDR com relacionamentos de processo pai-filho.
• Plataforma SIEM para consulta e correlação (Splunk, Elastic, Microsoft Sentinel).
• Referência do projeto LOLBAS (lolbas-project.github.io) para padrões de abuso conhecidos.

Fluxo de Trabalho

1. Construir Lista de Observação de LOLBins: Compile uma lista de LOLBins de alto risco do projeto LOLBAS, priorizando: certutil.exe, mshta.exe, rundll32.exe, regsvr32.exe, msbuild.exe, installutil.exe, cmstp.exe, wmic.exe, wscript.exe, cscript.exe, bitsadmin.exe e powershell.exe.
2. Estabelecer Uso Normal (Baseline): Defina como é o uso normal de LOLBins em seu ambiente, perfilando argumentos de linha de comando, processos pais e contextos de usuário para cada binário ao longo de 30 dias.
3. Caçar por Argumentos Anômalos: Procure por LOLBins executados com argumentos de linha de comando incomuns que indiquem abuso -- certutil com -urlcache -decode -encode, mshta com argumentos de URL, rundll32 carregando DLLs de diretórios temporários/de usuário, regsvr32 com /s /n /u /i:URL.
4. Analisar Relacionamentos Pai-Filho: Identifique processos pais inesperados que iniciam LOLBins -- por exemplo, outlook.exe iniciando mshta.exe, ou winword.exe iniciando certutil.exe indica entrega de documento "weaponized".
5. Verificar Execução de Caminhos Incomuns: LOLBins executados de caminhos não padrão (cópias colocadas em %TEMP%, diretórios de perfil de usuário) sugerem abuso de binários renomeados.
6. Correlacionar com Atividade de Rede: Mapeie a execução de LOLBins para conexões de rede de saída (Sysmon Event ID 3) para identificar "download cradles" e callbacks de C2.
7. Pontuar e Priorizar: Classifique os achados pela gravidade da anomalia, combinando argumentos suspeitos, processo pai incomum, caminho não padrão e indicadores de atividade de rede.

Conceitos Chave

Ferramentas e Sistemas

Consultas de Detecção

Splunk -- Execução de LOLBin de Alto Risco

index=sysmon EventCode=1
| where match(Image, "(?i)(certutil|mshta|rundll32|regsvr32|msbuild|installutil|cmstp|bitsadmin)\.exe$")
| eval suspicious=case(
    match(CommandLine, "(?i)certutil.*(-urlcache|-decode|-encode)"), "certutil_download_decode",
    match(CommandLine, "(?i)mshta.*(http|https|javascript|vbscript)"), "mshta_remote_exec",
    match(CommandLine, "(?i)rundll32.*\\\\(temp|appdata|users)"), "rundll32_unusual_dll",
    match(CommandLine, "(?i)regsvr32.*/s.*/n.*/u.*/i:"), "regsvr32_squiblydoo",
    match(CommandLine, "(?i)msbuild.*\\\\(temp|appdata|users)"), "msbuild_unusual_project",
    match(CommandLine, "(?i)bitsadmin.*/transfer"), "bitsadmin_download",
    match(CommandLine, "(?i)cmstp.*/s.*/ni"), "cmstp_uac_bypass",
    1=1, "normal"
)
| where suspicious!="normal"
| table _time Computer User Image CommandLine ParentImage ParentCommandLine suspicious

KQL -- Caça de LOLBin no Microsoft Sentinel

DeviceProcessEvents
| where Timestamp > ago(7d)

…