Glosario
LOLBin
Un binario legítimo, normalmente firmado por Microsoft, que los atacantes usan para ejecutar o descargar código, como rundll32, regsvr32, mshta o certutil.
Los binarios «living off the land» son herramientas ya presentes en Windows cuyas funciones normales permiten ejecutar scripts, cargar DLL o descargar archivos. El proyecto LOLBAS los cataloga con ejemplos. Habituales en las acciones de tareas programadas: rundll32.exe, regsvr32.exe, mshta.exe, wscript.exe, cscript.exe, certutil.exe, bitsadmin.exe y powershell.exe.
Un LOLBin como comando de una tarea es una pista de triaje, no un hallazgo: lo que decide son los argumentos. Una ruta de DLL o de script en una carpeta escribible por el usuario es lo que lo convierte en una línea de investigación. Vea cómo detectar tareas programadas maliciosas.