Définition simple
Les LOLBins sont des exécutables légitimes dont certaines fonctions peuvent être détournées dans une activité d’attaque.
Objectif et usage
L’attaquant cherche à bénéficier d’outils présents ou approuvés pour accomplir des actions que leur caractère légitime peut rendre moins visibles.
Comment ça fonctionne ?
Le risque dépend de la fonction appelée, des paramètres, du compte et des autres processus. Un même programme peut donc participer à une maintenance normale ou à un incident.
Points clés
- Exemple : un binaire système est appelé depuis un répertoire ou un processus parent sans rapport avec son usage habituel.
- Conserver l’arbre des processus et les événements associés pour comparer le comportement au fonctionnement attendu.
Points d’attention
Une liste de noms ne constitue pas une règle de détection suffisante. Les mesures de contrôle doivent tenir compte des besoins d’administration.
En résumé
LOLBins désigne des exécutables légitimes susceptibles d’abus ; LotL décrit la démarche plus large de détournement.