LOLBin (binaire living-off-the-land)

Un LOLBin (living-off-the-land binary, littéralement « binaire vivant sur le terrain ») est un programme légitime fourni avec Windows, généralement signé par Microsoft, que les attaquants détournent de son usage : téléchargement de fichiers, décodage de charges utiles, exécution de scripts ou lancement indirect de DLL malveillantes. Parmi les exemples classiques : certutil.exe, mshta.exe, rundll32.exe, regsvr32.exe, bitsadmin.exe, msbuild.exe et wmic.exe. Le projet communautaire LOLBAS recense ces binaires et leurs fonctions détournables.

Les attaquants les apprécient parce qu'ils sont déjà présents, jugés fiables et souvent autorisés par le contrôle applicatif : les utiliser évite de déposer de nouveaux outils sur le disque. Pour l'enquêteur, cela signifie que le nom de l'exécutable est rarement suspect en soi ; c'est le contexte qui compte.

Examinez la ligne de commande, le processus parent, l'utilisateur et l'heure. certutil qui récupère une URL, mshta lancé par une application Office ou rundll32 chargeant une DLL depuis le dossier temporaire d'un utilisateur sont des signaux forts. Les lignes de commande proviennent des événements de création de processus des journaux d'événements Windows (s'ils sont activés) ou de la télémétrie EDR, tandis que le Prefetch et les autres sources de preuve d'exécution confirment qu'un binaire a tourné et quels fichiers il a touchés. Certains LOLBins laissent des traces dédiées : les transferts bitsadmin, par exemple, apparaissent dans la file des tâches BITS. L'abus de LOLBins est fréquent lors d'un mouvement latéral et de la mise en place d'une persistance.