Red Team · Especialista
LOLBAS e living off the land
Living off the land usa ferramenta legítima. A conversa é Image, CommandLine e ParentImage. Sem receita ofensiva, com ATT&CK T1218 no relatório.
powershell.exe saindo do Word não é o mesmo powershell do pipeline de build. O pai do processo conta a história.
LOLBAS (Living Off the Land Binaries and Scripts) lista binários assinados pelo SO que dão para desviar (rundll32, mshta, certutil em contexto abusivo). Especialista ofensivo no exercício autorizado declara a família (T1218 signed binary proxy) sem anexar one-liner de evasão.
As perguntas pedem a última palavra da sigla e o ID ATT&CK.
Responda as questões abaixo
LOLBAS é a sigla de Living Off the Land Binaries and…
Qual ID ATT&CK o material cita para signed binary proxy?
Telemetria mínima: Image, CommandLine, ParentImage, User, hashes. Sem parent/child, LOLBin some no ruído do TI.
Allow-list de automação (SCCM, Intune, runners de CI) reduz falso positivo. Bloquear certutil na workstation de usuário é controle. No build server pode quebrar o pipeline. Decida por role.
A pergunta pede o campo do processo pai.
Responda as questões abaixo
Além de Image e CommandLine, qual campo de processo o material cita como essencial para LOLBin?