Escenario: tres actividades administrativas, una no lo es

Durante una auditoría de eventos en el clúster de contabilidad, se evaluaron tres actividades: 1) Un script de SCCM invocando PowerShell para inventario de software, 2) Una copia de seguridad programada usando robocopy, y 3) Una macro de Excel en el equipo de finanzas que engendró directamente mshta.exe ejecutando código VBScript en línea y conectándose a certutil para descargar un archivo desde 198.51.100.54. La genealogía ofimática y el tráfico de red confirmaron el abuso de LOLBins.

Indica el valor de command_line que figura en la tabla process_tree_lolbins para el evento EVT-PROC-7701.

Lección tras el caso {#leccion}

La técnica Living off the Land (LotL) representa la estrategia predominante de los actores de amenaza modernos para evadir defensas tradicionales sin necesidad de introducir malware binario en el disco. Bloquear las utilidades nativas del sistema operativo no es viable porque interrumpiría la operativa legítima. La caza de LOLBins descansa en el análisis riguroso del contexto y la genealogía: las líneas de comando con parámetros atípicos, los linajes padre-hijo improbables (como aplicaciones ofimáticas engendrando intérpretes de scripts) y las conexiones de red salientes desde utilidades administrativas locales firmadas constituyen las señales deterministas para desenmascarar el abuso hostil.