{"id":477880,"date":"2023-08-09T09:22:01","date_gmt":"2023-08-09T09:22:01","guid":{"rendered":""},"modified":"2023-09-05T11:15:36","modified_gmt":"2023-09-05T11:15:36","slug":"lolbin","status":"publish","type":"wiki","link":"https:\/\/oneproxy.pro\/it\/wiki\/lolbin\/","title":{"rendered":"LOL Bin"},"content":{"rendered":"

LOLBin, abbreviazione di "Living Off the Land Binaries", \u00e8 un termine utilizzato nella sicurezza informatica per fare riferimento a file eseguibili, strumenti o script legittimi presenti su un sistema operativo Windows di cui gli autori delle minacce possono abusare per svolgere attivit\u00e0 dannose. Questi file binari sono nativi del sistema e vengono generalmente utilizzati dai criminali informatici per aggirare le tradizionali misure di sicurezza. Sfruttando questi file binari preinstallati, gli aggressori possono evitare il rilevamento e rendere difficile per gli strumenti di sicurezza distinguere tra attivit\u00e0 legittime e dannose.<\/p>\n

La storia dell'origine di LOLBin e la prima menzione di esso<\/h2>\n

Il concetto di LOLBins ha acquisito importanza nella comunit\u00e0 della sicurezza informatica intorno al 2014, quando i ricercatori di sicurezza hanno iniziato a osservare un aumento degli attacchi fileless e delle tecniche che utilizzavano utilit\u00e0 di sistema legittime per scopi dannosi. La prima menzione di LOLBins \u00e8 stata in un documento di ricerca intitolato "Living off the Land and Evading Detection \u2013 A Survey of Common Practices" di Casey Smith nel 2014. Questo documento ha fatto luce su come gli avversari hanno sfruttato i file binari integrati di Windows per nascondere le loro attivit\u00e0 e eludere il rilevamento.<\/p>\n

Informazioni dettagliate su LOLBin: espansione dell'argomento LOLBin<\/h2>\n

I LOLBin rappresentano una strategia intelligente utilizzata dagli avversari informatici per volare sotto il radar. Questi file binari preinstallati forniscono agli aggressori un vasto arsenale per eseguire vari comandi, interagire con il sistema ed eseguire ricognizioni senza la necessit\u00e0 di rilasciare ulteriori file dannosi sul computer della vittima. Sono comunemente utilizzati negli attacchi fileless, in cui l'attacco avviene esclusivamente nella memoria, lasciando poche o nessuna traccia sul disco rigido.<\/p>\n

L'uso di LOLBins \u00e8 spesso combinato con altre tecniche, come vivere di tattiche di terra, scripting PowerShell e WMI (Strumentazione gestione Windows) per massimizzarne l'efficacia. I LOLBin sono particolarmente efficaci negli scenari post-sfruttamento, poich\u00e9 consentono agli aggressori di confondersi con l'attivit\u00e0 legittima del sistema, rendendo difficile per gli analisti della sicurezza distinguere tra comportamento normale e dannoso.<\/p>\n

La struttura interna del LOLBin: come funziona il LOLBin<\/h2>\n

I LOLBin sono file binari nativi di Windows preinstallati nel sistema operativo. Hanno funzionalit\u00e0 legittime e sono stati progettati per assistere con varie attivit\u00e0 amministrative, manutenzione del sistema e risoluzione dei problemi. Gli aggressori manipolano questi file binari per raggiungere obiettivi dannosi senza destare sospetti. La struttura interna di un LOLBin \u00e8 la stessa di qualsiasi normale sistema binario, consentendogli di operare inosservato dalle soluzioni di sicurezza.<\/p>\n

Il processo in genere prevede l'utilizzo di argomenti della riga di comando per richiamare funzionalit\u00e0 specifiche, eseguire comandi PowerShell o accedere a risorse di sistema sensibili. Gli aggressori possono sfruttare LOLBins per eseguire codice, creare o modificare file, interrogare il registro di sistema, comunicare in rete ed eseguire altre attivit\u00e0 necessarie per raggiungere i propri obiettivi.<\/p>\n

Analisi delle caratteristiche principali di LOLBin<\/h2>\n

I LOLBin offrono diverse funzionalit\u00e0 chiave che li rendono attraenti per gli autori delle minacce:<\/p>\n

    \n
  1. \n

    Aspetto legittimo<\/strong>: I LOLBin hanno firme digitali valide e in genere sono firmati da Microsoft, il che li fa apparire affidabili e aggirano i controlli di sicurezza.<\/p>\n<\/li>\n

  2. \n

    Invisibilit\u00e0<\/strong>: Poich\u00e9 sono binari di sistema nativi, i LOLBin possono eseguire codice dannoso senza sollevare segnali d'allarme o attivare avvisi dalle soluzioni di sicurezza.<\/p>\n<\/li>\n

  3. \n

    Non \u00e8 necessario eliminare malware<\/strong>: I LOLBin non richiedono agli aggressori di rilasciare file aggiuntivi sul sistema della vittima, riducendo le possibilit\u00e0 di rilevamento.<\/p>\n<\/li>\n

  4. \n

    Abuso di strumenti attendibili<\/strong>: gli aggressori sfruttano strumenti gi\u00e0 inseriti nella whitelist e considerati sicuri, il che rende difficile per gli strumenti di sicurezza distinguere tra utilizzo legittimo e dannoso.<\/p>\n<\/li>\n

  5. \n

    Esecuzione senza file<\/strong>: I LOLBin consentono attacchi fileless, riducendo l'impronta digitale e aumentando la complessit\u00e0 delle indagini forensi.<\/p>\n<\/li>\n<\/ol>\n

    Tipi di LOLBin<\/h2>\n\n\n\n\n\n\n\n\n
    Tipo LOLBin<\/th>\nDescrizione<\/th>\n<\/tr>\n<\/thead>\n
    Script di PowerShell<\/td>\nUtilizza PowerShell, un potente linguaggio di scripting in Windows, per svolgere attivit\u00e0 dannose.<\/td>\n<\/tr>\n
    Strumentazione gestione Windows (WMI)<\/td>\nSfrutta WMI per eseguire in remoto script e comandi sui sistemi di destinazione.<\/td>\n<\/tr>\n
    Prompt dei comandi di Windows (cmd.exe)<\/td>\nSfrutta l'interprete della riga di comando nativo di Windows per eseguire comandi e script.<\/td>\n<\/tr>\n
    Host di script di Windows (wscript.exe, cscript.exe)<\/td>\nEsegue script scritti in VBScript o JScript.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Modi di utilizzo di LOLBin, problemi e relative soluzioni legate all'utilizzo<\/h2>\n

    Modi di utilizzare LOLBin<\/h3>\n
      \n
    1. \n

      Aumento dei privilegi<\/strong>: LOLBins pu\u00f2 essere utilizzato per elevare i privilegi sui sistemi compromessi, ottenendo l'accesso a informazioni e risorse sensibili.<\/p>\n<\/li>\n

    2. \n

      Raccolta di informazioni<\/strong>: gli autori delle minacce utilizzano LOLBins per raccogliere informazioni sul sistema di destinazione, inclusi software installato, configurazione di rete e account utente.<\/p>\n<\/li>\n

    3. \n

      Movimento laterale<\/strong>: Gli aggressori utilizzano LOLBin per spostarsi lateralmente all'interno di una rete, saltando da un sistema all'altro, il tutto rimanendo furtivi.<\/p>\n<\/li>\n

    4. \n

      Persistenza<\/strong>: i LOLBin consentono agli aggressori di stabilire la persistenza sul sistema compromesso, garantendo che possano mantenere l'accesso per un periodo prolungato.<\/p>\n<\/li>\n<\/ol>\n

      Problemi e loro soluzioni legati all'utilizzo<\/h3>\n

      L\u2019uso di LOLBins pone sfide significative per i professionisti della sicurezza informatica. Alcuni dei problemi includono:<\/p>\n

        \n
      1. \n

        Rilevamento<\/strong>: gli strumenti di sicurezza tradizionali basati su firma potrebbero avere difficolt\u00e0 a rilevare i LOLBin a causa della loro natura legittima e della mancanza di modelli di malware noti.<\/p>\n<\/li>\n

      2. \n

        Visibilit\u00e0<\/strong>: Poich\u00e9 i LOLBin operano all'interno di processi di sistema legittimi, spesso eludono il rilevamento basato sull'analisi comportamentale.<\/p>\n<\/li>\n

      3. \n

        Whitelist<\/strong>: gli aggressori possono abusare dei meccanismi di whitelist che consentono l'esecuzione senza restrizioni dei file binari conosciuti.<\/p>\n<\/li>\n

      4. \n

        Mitigazione<\/strong>: Disabilitare o bloccare completamente i LOLBin non \u00e8 fattibile poich\u00e9 svolgono funzioni di sistema essenziali.<\/p>\n<\/li>\n<\/ol>\n

        Per affrontare queste sfide, le organizzazioni devono adottare un approccio alla sicurezza a pi\u00f9 livelli che includa:<\/p>\n