Glossar
LOLBin
Eine legitime, meist von Microsoft signierte Binärdatei, mit der Angreifer Code ausführen oder nachladen, etwa rundll32, regsvr32, mshta oder certutil.
„Living off the Land“-Binärdateien sind Werkzeuge, die unter Windows ohnehin vorhanden sind und deren normale Funktionen Skripte ausführen, DLLs laden oder Dateien herunterladen können. Das LOLBAS-Projekt katalogisiert sie mit Beispielen. Häufig in Aktionen geplanter Aufgaben: rundll32.exe, regsvr32.exe, mshta.exe, wscript.exe, cscript.exe, certutil.exe, bitsadmin.exe und powershell.exe.
Ein LOLBin als Befehl einer Aufgabe ist ein Hinweis für die Triage, kein Befund: Entscheidend sind die Argumente. Erst ein DLL- oder Skriptpfad in einem für Benutzer beschreibbaren Ordner macht daraus eine Spur. Siehe bösartige geplante Aufgaben erkennen.