|
https://forum.antichat.xyz/attachmen...3f92fb60ba.png
Ваш EDR не сработал. Антивирус молчит. На диск не упал ни один подозрительный файл - а атакующий уже дампит LSASS и двигается по сети, используя исключительно бинарники, которые Microsoft поставляет с каждой копией Windows. По данным CrowdStrike Global Threat Report 2025, 79% обнаружений (detections) CrowdStrike в 2024 году были malware-free - то есть использовали валидные учётные записи, RMM-инструменты и/или LOTL-техники, - против 40% в 2019-м. Анализ Bitdefender по 700 000 инцидентов показывает, что 84% высокоприоритетных атак задействуют технику Living off the Land. Ваши штатные утилиты - Код:
certutilКод:
mshtaКод:
rundll32Эта статья - хаб-страница, с которой вы попадёте в любую точку темы: от конкретных команд пост-эксплуатации до обхода AMSI и закрепления через COM-hijacking. Ниже - карта всего кластера. Карта темы: навигация по кластеру #ПодтемаПодробный разбор1Справочник LOLBins-команд для каждого этапа kill chainLOLBAS шпаргалка: команды пост-эксплуатации Windows без сторонних инструментов2Перемещение по сети через WMI, PSRemoting, DCOMLateral Movement в Windows без малвари: WMI, PSRemoting и DCOM на практике3Повышение привилегий через мисконфигурации и токеныПовышение привилегий Windows: эксплуатация мисконфигураций, токенов и обход UAC на практике4Свежие LPE-уязвимости из Patch Tuesday 2026Privilege Escalation Windows 2026: разбор свежих CVE из Patch Tuesday и техники LPE-эксплуатации5Обход Defender, AMSI и техники defense evasionОбход Windows Defender и AMSI: практический гайд по defense evasion для Red Team6Механизмы закрепления: реестр, планировщик, WMI, COMТехники закрепления в Windows: реестр, планировщик, WMI и COM-hijacking для Red Team7Обход EDR через уязвимые драйверы (BYOVD)BYOVD атака обход EDR: анатомия Bring Your Own Vulnerable Driver в 2026 году Что такое Living off the Land и почему 79% атак обходятся без малвари Living off the Land (LOTL) - стратегия атаки, при которой злоумышленник выполняет всю цепочку kill chain, используя легитимные инструменты, уже присутствующие в целевой системе. Вместо загрузки собственного бэкдора или RAT оператор применяет подписанные Microsoft бинарники - те самые LOLBins (Living Off the Land Binaries) - для скачивания полезной нагрузки, выполнения кода в памяти, перемещения по сети и закрепления. Термин появился около 2013 года, но взрывной рост начался после 2019. Причины - экономические и тактические:
С точки зрения MITRE ATT&CK, ядро LOTL - это техника T1218 System Binary Proxy Execution (тактика Defense Evasion, платформа Windows): атакующий проксирует выполнение произвольного кода через доверенный системный бинарник, чтобы обойти средства защиты. Но в реальной кампании LOTL покрывает и Execution (T1059.001 PowerShell, T1059.003 Windows Command Shell, T1047 WMI), и Command and Control (T1105 Ingress Tool Transfer), и Credential Access (T1003.001 LSASS Memory), и Privilege Escalation (T1134, T1055), и Persistence. Для cmd.exe (T1059.003) LOLBAS также документирует T1048.003, T1105 и T1564.004. Ключевое, что нужно понять: LOTL - не отдельный трюк, а философия построения всей цепочки атаки. Конкретные команды и флаги для каждого этапа мы детально разобрали в нашей шпаргалке: LOLBAS шпаргалка: команды пост-эксплуатации Windows без сторонних инструментов. 7 LOLBins, которые определяют ландшафт атак в 2026 году Не все LOLBins одинаково опасны. Ниже - бинарники, которые я стабильно встречаю в реальных Red Team-кампаниях и разборах инцидентов. Для каждого - суть злоупотребления, текущий статус детектирования и маппинг на ATT&CK. certutil.exe - швейцарский нож пост-эксплуатации Штатная утилита управления сертификатами. Умеет скачивать файлы из интернета ( Код:
-urlcache -split -fКод:
-encodeКод:
-decodeКод:
certutilСтатус детектирования: большинство EDR алертят на Код:
certutil -urlcachemshta.exe - выполнение скриптов без файлов на диске Microsoft HTML Application Host исполняет Код:
.htaКод:
.htaКод:
mshta.exeСтатус детектирования: Parent-child relationships ( Код:
mshtaКод:
rundll32Код:
powershellregsvr32.exe - техника Squiblydoo жива и в 2026 Регистрирует COM-компоненты. Может загружать и исполнять удалённый Код:
.sctКод:
regsvr32.exerundll32.exe - proxy execution и дамп LSASS без Mimikatz Выполняет экспортированные функции из DLL (T1218.011). Один из самых импактных сценариев: вызов Код:
rundll32.exe C:\windows\system32\comsvcs.dll, MiniDump C:\Windows\Temp\lsass.dmp fullКод:
HKLM\SYSTEM\CurrentControlSet\Control\Lsamsiexec.exe - удалённый инсталлятор как дроппер Указываете URL - Код:
msiexec /i http://...forfiles.exe - порождение процессов в обход мониторинга parent-child Запускает команду для каждого файла, соответствующего паттерну. Используется как прокси для запуска других бинарников, потому что часть EDR-правил отслеживает, кто породил процесс, а Код:
forfilesMAVInject.exe - LOLBin уровня nation-state Microsoft Application Virtualization Injector. В феврале 2025 года Trend Micro и Mandiant задокументировали, как APT-группа Mustang Panda (Earth Preta) использовала Код:
MAVInject.exeКод:
waitfor.exeОтдельного внимания заслуживают Код:
curl.exeКод:
tar.exeКод:
certutilКод:
bitsadminПолный справочник команд с флагами, описанием действий на уровне API и статусом детектирования: LOLBAS шпаргалка: команды пост-эксплуатации Windows без сторонних инструментов. Анатомия полной LOLBin-цепочки: от фишинга до RAT без единого вредоносного файла Теория - это хорошо, но LOTL становится по-настоящему опасным, когда LOLBins объединяются в цепочку. Январская кампания 2026 года по доставке Remcos и NetSupport RAT, задокументированная Malwarebytes, - один из самых чистых примеров. Весь kill chain от фишингового письма до персистентного RAT использовал ноль custom malware вплоть до финального пейлоада. Каждый шаг выполнялся подписанным Microsoft бинарником или легитимным приложением:
Это именно та модель, которую я использую при построении Red Team-кампаний в Cobalt Strike и Sliver: C2-фреймворк отдаёт команды, но каждое действие на хосте выполняется руками штатных утилит Windows. Закрепление в системе: Persistence без сторонних EXE После первоначального доступа атакующему нужно пережить перезагрузку. В LOTL-парадигме для этого используются встроенные механизмы Windows:
Подробный разбор каждого механизма с командами и детектами: Техники закрепления в Windows: реестр, планировщик, WMI и COM-hijacking для Red Team. Lateral Movement нативными инструментами Windows: WMI, DCOM и PSRemoting Когда оператор закрепился на одном хосте, следующая задача - распространение по сети. И здесь LOTL раскрывается в полную силу. Всё, что нужно для Lateral Movement, уже есть в Windows:
Ключевая проблема для защитников: все перечисленные протоколы - это легитимный административный трафик. Различить сисадмина и атакующего можно только по контексту: время суток, сочетание команд, частота обращений к нетипичным хостам. Отдельную проблему представляет lateral movement через доверенные учётные записи: когда атакующий использует валидные credentials, EDR не видит аномалии на уровне процессов - весь трафик выглядит как легитимное администрирование. Подробно о том, почему средства защиты молчат в таких сценариях и как их всё же обнаружить: Lateral movement через доверенные учётные записи. Пошаговые сценарии с разбором на уровне сетевых протоколов: Lateral Movement в Windows без малвари: WMI, PSRemoting и DCOM на практике. Повышение привилегий: от пользователя до SYSTEM встроенными средствами Оказавшись на хосте с правами обычного пользователя, оператор LOTL повышает привилегии без загрузки эксплойтов. Основные вектора: Мисконфигурации служб и разрешений. Если служба запускается от имени SYSTEM и имеет writable-путь к бинарнику, достаточно подменить исполняемый файл. Для обнаружения таких служб не нужен сторонний инструмент: Код:
sc qcКод:
icaclsОбход UAC. User Account Control - не граница безопасности, а уровень удобства. Существуют десятки задокументированных обходов UAC (T1548.002) через auto-elevate бинарники, и многие из них - LOLBins: Код:
fodhelper.exeКод:
computerdefaults.exeКод:
sdclt.exeМанипуляция токенами (T1134.001 Token Impersonation/Theft). Код:
SeImpersonatePrivilegeСвежие CVE из Patch Tuesday. Уязвимости LPE (Local Privilege Escalation) выходят ежемесячно. CVE-2025-29824 (Use After Free в Windows CLFS Driver, CVSS 7.8) - пример: локальный авторизованный пользователь повышает привилегии до SYSTEM. Эта уязвимость активно эксплуатировалась в дикой природе совместно с Код:
certutilДля практика важно не просто знать отдельные CVE, а понимать паттерн: Patch Tuesday каждый месяц приносит 2-5 LPE. Red Team-оператор должен проверять свежие бюллетени и интегрировать рабочие LPE в свой арсенал быстрее, чем Blue Team накатит патч. Разбор мисконфигураций, токенов и обхода UAC с конкретными сценариями: Повышение привилегий Windows: эксплуатация мисконфигураций, токенов и обход UAC на практике. Подробный разбор свежих LPE-уязвимостей: Privilege Escalation Windows 2026: разбор свежих CVE из Patch Tuesday и техники LPE-эксплуатации. Обход EDR и AMSI: почему Defense Evasion - центральный этап LOTL Техника Living off the Land по своей природе является техникой уклонения (T1218 System Binary Proxy Execution). Но современные EDR научились строить поведенческие цепочки, и простой запуск Код:
certutil -urlcacheОбход AMSI (Anti-Malware Scan Interface) AMSI перехватывает содержимое PowerShell-скриптов, VBScript и JScript перед исполнением и отправляет на проверку антивирусу. Для оператора это означает, что даже чистый PowerShell-пейлоад в памяти может быть заблокирован. Обход AMSI - обязательный шаг перед любой PowerShell-активностью в цепочке LOTL. Существуют техники патчинга Код:
amsi.dllКод:
AmsiScanBufferОбход поведенческих правил EDR Современные EDR (CrowdStrike Falcon, Defender for Endpoint, SentinelOne) строят деревья процессов и корреляции. Классическая цепочка Код:
winword.exe → powershell.exe → certutil.exe
Если оператор получил достаточные привилегии, он может отключить защиту напрямую: добавить исключения в Defender через PowerShell ( Код:
Set-MpPreference -ExclusionPathПрактический гайд по обходу Defender и AMSI с разбором конкретных техник: Обход Windows Defender и AMSI: практический гайд по defense evasion для Red Team. BYOVD: когда LOLBins недостаточно, атакующий приносит свой драйвер Bring Your Own Vulnerable Driver (BYOVD) - логическое расширение LOTL-философии. Если LOLBins работают в user space, BYOVD даёт атакующему доступ на уровне ядра, что позволяет:
Код:
RTCore32.sysКод:
RTCore64.sysСовременная Windows требует подписи драйверов, но BYOVD эксплуатирует не отсутствие подписи, а уязвимость в легитимном подписанном драйвере. Этот драйвер проходит проверку целостности, загружается в ядро - и предоставляет атакующему примитивы для произвольного чтения/записи памяти ядра. Полный разбор анатомии BYOVD-атак: BYOVD атака обход EDR: анатомия Bring Your Own Vulnerable Driver в 2026 году. Реальные кампании: Volt Typhoon, Remcos 2026, Mustang Panda Три кейса, которые показывают LOTL на разных уровнях сложности. Volt Typhoon - 5 лет в критической инфраструктуре США Китайская государственная APT-группа, задокументированная CISA и Five Eyes. Целевые секторы: энергетика, телеком, транспорт. Набор инструментов: PowerShell, WMIC, netsh, ntdsutil. Ни одного custom malware. В отдельных средах доступ сохранялся более пяти лет до обнаружения. Это показывает предел того, насколько долго LOTL может оставаться невидимым при недостаточном поведенческом мониторинге. Remcos/NetSupport RAT - январь 2026 Кампания, задокументированная Malwarebytes. Полная LOLBin-цепочка: Код:
mshta.exeКод:
curl.exeКод:
tar.exeКод:
forfiles.exeКод:
curl.exeКод:
tar.exeMustang Panda (Earth Preta) - MAVInject.exe APT-группа целенаправленно использовала малоизвестный LOLBin Код:
MAVInject.exeКод:
waitfor.exeДетектирование LOTL: чек-лист для Blue Team и Purple Team Обнаружить LOTL-атаку сигнатурным анализом невозможно - нечего сигнатурировать. Работает только поведенческий анализ и корреляция событий. Ниже - практический чек-лист, который я использую в Purple Team-сессиях. Обязательный фундамент: логирование Без логов нет детекта. Стандартный уровень аудита Windows недостаточен. Минимальный набор:
Что мониторитьПочему это подозрительноMITRE ATT&CK Код:
certutil.exeКод:
-urlcacheКод:
-splitКод:
-decodeКод:
-encodeКод:
mshta.exeКод:
powershell.exeКод:
cmd.exeКод:
rundll32.exeКод:
rundll32.exeКод:
forfilesКод:
pcaluaКод:
msiexecКод:
powershell.exeКод:
MAVInject.exeКод:
-EncodedCommandКод:
-NoProfileКод:
-WindowStyle HiddenПример KQL-запроса для Defender for Endpoint Для демонстрации концепции - запрос, выявляющий LOLBins, устанавливающие сетевые соединения: Код: Код:
DeviceNetworkEventsСогласно совместному руководству киберагентств США, Великобритании и Австралии по детектированию LOTL, ключевые рекомендации:
PowerShell заслуживает отдельного разговора. По данным телеметрии, он стабильно входит в топ наиболее злоупотребляемых LOLBins по данным отраслевых отчётов (например, Red Canary Threat Detection Report). Это не просто исполнитель команд - это полноценная среда, дающая атакующему:
Защитная стратегия: Constrained Language Mode + Script Block Logging + AMSI - трёхслойная оборона, каждый слой которой атакующий должен обойти отдельно. Но и каждый слой имеет задокументированные обходы, что создаёт бесконечную гонку вооружений. Куда движется LOTL: тренды и прогноз LOTL - не модная техника, а новая норма. Несколько тенденций, которые определят ландшафт в ближайший год: Рост использования «свежих» LOLBins. Код:
curl.exeКод:
tar.exeКод:
MAVInject.exeКонвергенция LOTL и BYOVD. Чистые LOLBins работают в user space. Для терминации EDR нужен kernel access. Комбинация «LOLBin-цепочка для доставки + BYOVD для нейтрализации защиты» становится стандартным паттерном у финансово мотивированных групп. Облачный LOTL. Техника масштабируется за пределы Windows: AWS CLI, Azure PowerShell, gcloud - всё это LOLBins облачной среды. Украденные cloud credentials позволяют жить off the land в облаке. Ответ от Microsoft. Всё больше LOLBins получают ограничения: WDAC-политики, AppLocker-правила, подписанные конфигурации Sysmon. Но темп появления новых техник пока опережает темп закрытия. Для Red Team-оператора это значит: инвестируйте в понимание Windows internals, а не в конкретные инструменты. Cobalt Strike, Sliver, Havoc - это средства доставки. Реальная работа на хосте - это LOLBins, и чем глубже вы понимаете, как каждый из них взаимодействует с ядром и телеметрией, тем дольше вы остаётесь невидимым. Для Blue Team: baseline, baseline, baseline. Если вы не знаете, какие LOLBins нормальны в вашей среде, вы не отличите оператора от сисадмина. Sysmon + SIEM + UEBA - минимальный стек. Без него 79% атак пройдут мимо. Если вы строите Red Team-операции или защищаете Windows-инфраструктуру, начните с конкретных шагов: разверните Sysmon с детализированной конфигурацией, включите Script Block Logging, проведите hunt по каталогу LOLBAS в вашей SIEM. Каждая spoke-статья этого кластера даёт пошаговую инструкцию для конкретного этапа - от первой команды до детект-правила. Вопрос к читателям В январской кампании Remcos/NetSupport RAT 2026 года атакующие использовали Код:
forfiles.exeКод:
mshta.exeКод:
forfiles.exeКод:
mshta.exeКод:
ParentImageКод:
Image``` _________________________________________________ Meta-Title: Living off the Land атаки Windows — LOLBAS, обход EDR Meta-Description: 79% атак без малвари: полный разбор LOLBins (certutil, mshta, rundll32), цепочки kill chain, обход EDR/AMSI и детектирование LOTL-техник в Windows. Теги: living off the land, LOLBAS, LOLBins, обход EDR, fileless атаки, пост-эксплуатация Windows, MITRE ATT&CK, certutil mshta rundll32, Red Team Windows, defense evasion, бесфайловые атаки, BYOVD |
| Время: 20:22 |