LOLBin, abr\u00e9viation de \u00ab Living Off the Land Binaries \u00bb, est un terme utilis\u00e9 en cybers\u00e9curit\u00e9 pour d\u00e9signer des ex\u00e9cutables, des outils ou des scripts l\u00e9gitimes pr\u00e9sents sur un syst\u00e8me d'exploitation Windows qui peuvent \u00eatre abus\u00e9s par des acteurs malveillants pour mener des activit\u00e9s malveillantes. Ces binaires sont natifs du syst\u00e8me et sont g\u00e9n\u00e9ralement utilis\u00e9s par les cybercriminels pour contourner les mesures de s\u00e9curit\u00e9 traditionnelles. En exploitant ces binaires pr\u00e9install\u00e9s, les attaquants peuvent \u00e9viter la d\u00e9tection et compliquer la t\u00e2che des outils de s\u00e9curit\u00e9 pour distinguer les activit\u00e9s l\u00e9gitimes des activit\u00e9s malveillantes.<\/p>\n
Le concept de LOLBins a pris de l'importance dans la communaut\u00e9 de la cybers\u00e9curit\u00e9 vers 2014, lorsque les chercheurs en s\u00e9curit\u00e9 ont commenc\u00e9 \u00e0 observer une augmentation des attaques sans fichier et des techniques utilisant des utilitaires syst\u00e8me l\u00e9gitimes \u00e0 des fins malveillantes. La premi\u00e8re mention de LOLBins figurait dans un document de recherche intitul\u00e9 \u00ab\u00a0Living off the Land and Evading Detection \u2013 A Survey of Common Practices\u00a0\u00bb par Casey Smith en 2014. Cet article a mis en lumi\u00e8re la fa\u00e7on dont les adversaires ont exploit\u00e9 les binaires int\u00e9gr\u00e9s de Windows pour dissimuler leurs activit\u00e9s et \u00e9chapper \u00e0 la d\u00e9tection.<\/p>\n
Les LOLBins repr\u00e9sentent une strat\u00e9gie intelligente utilis\u00e9e par les cyber-adversaires pour passer inaper\u00e7us. Ces binaires pr\u00e9install\u00e9s fournissent aux attaquants un arsenal complet pour ex\u00e9cuter diverses commandes, interagir avec le syst\u00e8me et effectuer des reconnaissances sans avoir besoin de d\u00e9poser des fichiers malveillants suppl\u00e9mentaires sur la machine de la victime. Ils sont couramment utilis\u00e9s dans les attaques sans fichier, o\u00f9 l'attaque a lieu uniquement en m\u00e9moire, ne laissant que peu ou pas de traces sur le disque dur.<\/p>\n
L'utilisation de LOLBins est souvent combin\u00e9e avec d'autres techniques, telles que les tactiques de vie de la terre, les scripts PowerShell et WMI (Windows Management Instrumentation) pour maximiser leur efficacit\u00e9. Les LOLBins sont particuli\u00e8rement efficaces dans les sc\u00e9narios post-exploitation, car ils permettent aux attaquants de se fondre dans l'activit\u00e9 l\u00e9gitime du syst\u00e8me, ce qui rend difficile pour les analystes de s\u00e9curit\u00e9 de faire la distinction entre un comportement normal et malveillant.<\/p>\n
Les LOLBins sont des binaires Windows natifs pr\u00e9install\u00e9s sur le syst\u00e8me d'exploitation. Ils ont des fonctionnalit\u00e9s l\u00e9gitimes et ont \u00e9t\u00e9 con\u00e7us pour faciliter diverses t\u00e2ches administratives, la maintenance du syst\u00e8me et le d\u00e9pannage. Les attaquants manipulent ces binaires pour atteindre des objectifs malveillants sans \u00e9veiller les soup\u00e7ons. La structure interne d'un LOLBin est la m\u00eame que celle de n'importe quel syst\u00e8me binaire classique, ce qui lui permet de fonctionner inaper\u00e7u des solutions de s\u00e9curit\u00e9.<\/p>\n
Le processus implique g\u00e9n\u00e9ralement l'utilisation d'arguments de ligne de commande pour appeler des fonctionnalit\u00e9s sp\u00e9cifiques, ex\u00e9cuter des commandes PowerShell ou acc\u00e9der \u00e0 des ressources syst\u00e8me sensibles. Les attaquants peuvent exploiter LOLBins pour ex\u00e9cuter du code, cr\u00e9er ou modifier des fichiers, interroger le registre syst\u00e8me, communiquer sur le r\u00e9seau et effectuer d'autres activit\u00e9s n\u00e9cessaires pour atteindre leurs objectifs.<\/p>\n
Les LOLBins offrent plusieurs fonctionnalit\u00e9s cl\u00e9s qui les rendent attrayantes pour les acteurs malveillants\u00a0:<\/p>\n
Apparence l\u00e9gitime<\/strong>: Les LOLBins ont des signatures num\u00e9riques valides et sont g\u00e9n\u00e9ralement sign\u00e9es par Microsoft, ce qui les rend dignes de confiance et contourne les contr\u00f4les de s\u00e9curit\u00e9.<\/p>\n<\/li>\n Invisibilit\u00e9<\/strong>: Comme il s\u2019agit de binaires syst\u00e8me natifs, LOLBins peut ex\u00e9cuter du code malveillant sans d\u00e9clencher de signaux d\u2019alarme ni d\u00e9clencher d\u2019alertes de solutions de s\u00e9curit\u00e9.<\/p>\n<\/li>\n Pas besoin de suppression de logiciels malveillants<\/strong>: LOLBins n'exige pas que les attaquants d\u00e9posent des fichiers suppl\u00e9mentaires sur le syst\u00e8me de la victime, ce qui r\u00e9duit les chances de d\u00e9tection.<\/p>\n<\/li>\n Abus d'outils de confiance<\/strong>: Les attaquants exploitent des outils d\u00e9j\u00e0 inscrits sur liste blanche et consid\u00e9r\u00e9s comme s\u00fbrs, ce qui rend difficile pour les outils de s\u00e9curit\u00e9 de faire la distinction entre une utilisation l\u00e9gitime et malveillante.<\/p>\n<\/li>\n Ex\u00e9cution sans fichier<\/strong>: Les LOLBins permettent des attaques sans fichier, r\u00e9duisant ainsi l'empreinte num\u00e9rique et augmentant la complexit\u00e9 des enqu\u00eates m\u00e9dico-l\u00e9gales.<\/p>\n<\/li>\n<\/ol>\nTypes de LOLBin<\/h2>\n