Los LOLBins, abreviatura de "living-off-the-land binaries", son herramientas de sistema legítimas, a menudo preinstaladas, que los actores de amenazas usan de forma indebida para llevar a cabo un ataque en lugar de depender de malware personalizado. Piensa en PowerShell, Windows Management Instrumentation (WMI), o utilidades de línea de comandos que vienen incluidas en cada versión de Windows. Para un desglose completo de qué son los LOLBins y cómo funcionan, consulta nuestra guía sobre herramientas de protección contra LOLBins.

En pocas palabras: no son maliciosos por sí solos. Solo se convierten en una amenaza cuando alguien con malas intenciones les da un mal uso.

Lo que hace que los LOLBins sean útiles para tu equipo de TI es exactamente lo mismo que los hace peligrosos en manos de un actor de amenazas: la confianza.

Ya tienen permiso para ejecutarse. Muchas herramientas de seguridad tradicionales están diseñadas para marcar lo que no pertenece: archivos desconocidos, ejecutables sin firmar, código que no coincide con una firma conocida. Los LOLBins a menudo no activan esas alarmas porque están firmados, son nativos y esperados. Una herramienta diseñada para detectar extraños tiene menos razones para detener a alguien que ya tiene una llave.

Se mezclan con la actividad normal. Un usuario ejecutando PowerShell no parece un ataque. Parece un martes cualquiera. Los actores de amenazas cuentan con esto. Usan binarios confiables precisamente porque la actividad se esconde en el ruido del trabajo administrativo diario, lo que hace fácil pasarla por alto a menos que alguien analice de cerca el contexto: quién lo ejecutó, desde dónde y por qué.

Le dan a los atacantes un kit de herramientas completo sin el riesgo. Una vez dentro de una red, los actores de amenazas pueden usar LOLBins para moverse lateralmente, escalar privilegios, deshabilitar controles de seguridad y exfiltrar datos, a menudo sin escribir archivos nuevos en el disco. Menos archivos nuevos significan menos firmas para comparar, por lo que el antivirus tradicional puede tener poco o nada obvio que marcar.

Reducen el costo de un ataque. Crear malware personalizado toma tiempo, dinero y habilidad. Reutilizar herramientas que ya están presentes en la mayoría de los endpoints es más rápido, más barato y mucho menos probable que se detecte temprano. Esa es gran parte de la razón por la que el abuso de LOLBins aparece en todo, desde operaciones de ransomware hasta espionaje patrocinado por estados.

Complican la respuesta y el análisis forense. Cuando un ataque se construye completamente con herramientas nativas y confiables, es más difícil distinguir dónde termina el trabajo legítimo de TI y dónde comienza una intrusión. Los investigadores tienen que analizar el comportamiento y el contexto en lugar de simplemente marcar un archivo malicioso, lo que requiere más tiempo y más experiencia.

Los actores de amenazas gravitan hacia un conjunto bastante constante de herramientas porque están ampliamente disponibles en los sistemas Windows y son lo suficientemente flexibles como para respaldar cada etapa de una intrusión.

• PowerShell — se usa para todo, desde descargar payloads hasta ejecutar scripts completamente en memoria
• PsExec — permite a los atacantes ejecutar comandos en sistemas remotos, a menudo para moverse lateralmente en una red
• certutil — una herramienta de certificados que puede reutilizarse para decodificar o descargar archivos maliciosos
• mshta — ejecuta aplicaciones HTML de Microsoft, a menudo usado para ejecutar scripts maliciosos mientras parece actividad rutinaria
• rundll32 — ejecuta código desde archivos DLL, una forma común de ejecutar código malicioso sin generar un nuevo ejecutable
• wmic — se usa para el reconocimiento del sistema y para ejecutar comandos en una red
• regsvr32 — puede usarse para ejecutar scripts de forma remota mientras evade herramientas que solo buscan tipos de archivo sospechosos
• bitsadmin — diseñado para transferencias de archivos, pero frecuentemente abusado para descargar e instalar malware de forma silenciosa

Ninguna de estas herramientas es inherentemente maliciosa. Cada una tiene un trabajo legítimo que hacer. Ese es exactamente el punto, y exactamente el riesgo.

Si tu estrategia de seguridad se basa en detectar archivos maliciosos, los atacantes pueden usar LOLBins para encontrar los vacíos. Detener este tipo de ataque significa cambiar el enfoque de qué se está ejecutando a cómo se está ejecutando y quién está detrás. Esa es la diferencia entre una herramienta de seguridad que pasa por alto la actividad por completo y una que la detecta antes de que se convierta en un incidente real.

¿Quieres saber qué buscar en una herramienta diseñada para detectar este tipo de comportamiento? Consulta nuestra guía sobre herramientas de protección contra LOLBins para ver qué funciona realmente, y cómo te ayuda Huntress.