Los LOLBins son las herramientas que ya vienen integradas en Windows, macOS y Linux, cosas que los equipos de TI usan todos los días para hacer su trabajo. Ese es el problema. Cuando un actor de amenazas ejecuta net.exe para enumerar tu red o usa PowerShell para moverse lateralmente, no está colocando un archivo nuevo y sospechoso en el endpoint. Está usando algo que se supone que debe estar ahí.

El antivirus tradicional está diseñado para detectar archivos maliciosos. No está diseñado para detectar un binario confiable que la persona equivocada usa mal, en la máquina equivocada, en el momento equivocado. Esa brecha es exactamente donde viven los ataques de LOLBins, y por eso elegir las herramientas de protección correctas importa tanto.

No todas las herramientas de seguridad están diseñadas para detectar este tipo de ataque. Al evaluar herramientas de protección contra LOLBins para tu organización, busca algunas capacidades específicas:

• Detección basada en comportamiento en vez de escaneo basado en archivos. La herramienta debe poder distinguir entre un administrador de sistemas que ejecuta PowerShell para una tarea normal y un atacante que lo usa para deshabilitar controles de seguridad o exfiltrar datos. Eso significa analizar argumentos de línea de comandos, relaciones entre procesos padre e hijo y el contexto, no solo comparar un archivo con una lista de firmas.
• Visibilidad total de endpoints. No puedes detectar un mal uso que no puedes ver. Busca herramientas que te den una visión clara de lo que realmente sucede en cada endpoint, no solo una muestra o un resumen.
• Establecimiento de una línea base frente a la actividad normal. Las herramientas de protección contra LOLBins más sólidas aprenden cómo se ve lo "normal" para tu organización y marcan desviaciones, como una herramienta administrativa que se ejecuta en una máquina que nunca la había usado o un patrón de inicio de sesión que no coincide con la forma en que tu equipo suele trabajar.
• Revisión humana, no solo automatización. El mal uso de LOLBins es sutil por diseño. Las alertas automatizadas ayudan, pero un analista capacitado que revisa la actividad sospechosa en tiempo real marca la diferencia entre detectar un ataque en curso y descubrirlo después de que el daño ya está hecho.
• Respuesta rápida, no solo detección. Detectar la actividad es solo la mitad del trabajo. Tus herramientas necesitan una vía clara para interrumpirla: aislar un endpoint, detener un proceso o involucrar a tu equipo de inmediato.

Huntress protege a las organizaciones de ataques de LOLBin al enfocarse en el comportamiento, no solo en los archivos. Como los LOLBin son herramientas legítimas que ya existen en tus sistemas, Huntress busca los patrones de uso indebido que delatan a los atacantes: quién ejecutó la herramienta, desde qué endpoint, con qué estructura de línea de comandos, y si esa actividad coincide con el comportamiento habitual de tu organización.

Esa detección se basa en visibilidad total de endpoints mediante Managed EDR, respaldada por un SOC impulsado por IA y liderado por humanos, disponible 24/7, que investiga y detiene la actividad sospechosa en tiempo real. Así que cuando algo parece fuera de lugar, no solo se registra: se investiga.

En la práctica, los analistas de nuestro SOC están atentos a patrones como:

• Herramientas administrativas usadas por el usuario equivocado o en la máquina equivocada

• Sintaxis de comandos sospechosa, como un orden inusual de argumentos en net.exe

• Nombres de cuenta falsos o mal escritos, como Adminstrator o WDAGUtilltyAccount

• Tácticas recurrentes de atacantes, incluidas contraseñas conocidas o patrones repetidos de LOLBin vistos en otros incidentes

El antivirus tradicional muchas veces pasa por alto este tipo de actividad por completo. No hay ningún archivo malicioso que escanear: los atacantes simplemente usan lo que ya está en el sistema. Por eso Huntress construye su defensa contra LOLBin alrededor de EDR basado en comportamiento, caza de amenazas gestionada y respuesta real del SOC, para que tu organización detecte estos ataques antes en la cadena de ataque, en lugar de después de que ya ocurrió.

¿Quieres ver cómo Huntress detecta este tipo de actividad en tu propia red? Inicia tu prueba gratuita hoy mismo o reserva una demo para obtener más información.