¿Qué es LOLBAS (Living Off The Land Binaries And Scripts)?

El acrónimo LOLBAS significa un método que hace un uso indebido de programas existentes en una computadora, por ejemplo programas del sistema operativo, para funciones maliciosas o malware. El proyecto LOLBAS recopila información sobre binarios, scripts o bibliotecas utilizables y los pone a disposición del público en Internet. Defenderse de este tipo de ataques a los ordenadores puede resultar complicado.

¿Qué es LOLBAS (Living Off The Land Binaries And Scripts)?

LOLBAS es la abreviatura de "Living Off The Land Binaries And Scripts" y significa un método de ataque a las computadoras. “Living Off The Land” significa literalmente “alimentarse de la naturaleza” y describe bastante bien el método. Los binarios y scripts de Living Off The Land son archivos ejecutables, scripts o bibliotecas que ya existen en una computadora, son proporcionados por el propio sistema operativo o provienen de fuentes confiables.

Pueden utilizarse indebidamente para determinadas funciones maliciosas. El código malicioso utiliza los recursos presentes "naturalmente" en una computadora, como programas firmados por un proveedor o por el sistema operativo.

El término "vivir la tierra" fue acuñado por Christopher Campbell y Matt Graeber. Las actividades maliciosas a menudo pasan desapercibidas debido al concepto LOL, ya que los programas que se ejecutan son herramientas y aplicaciones del sistema preinstaladas. Por ejemplo, Vivir de la tierra: binarios y scripts se puede utilizar para descargar archivos, compilar códigos de programas, realizar operaciones con archivos o robar credenciales sin ser detectado. En sistemas Windows, por ejemplo, a menudo se hace un mal uso de powershell.exe o rundll32.exe.

El proyecto LOLBAS iniciado por Oddvar Moe existe en Internet. Proporciona información sobre binarios, scripts y bibliotecas que pueden ser utilizados, por ejemplo, por un Equipo rojo como parte de las pruebas de penetración.

El objetivo del proyecto de código abierto es documentar todos los scripts, archivos binarios y bibliotecas que se pueden utilizar para el método Living-Off-The-Land. Si ciertos binarios, scripts o bibliotecas cumplen con los requisitos del proyecto, la información se publica en Internet. Está disponible una lista de búsqueda de LOLBins, LOLLibs y LOLScripts. Se puede acceder al proyecto a través del enlace https://lolbas-project.github.io.

Criterios para scripts, bibliotecas y binarios de LOLBAS.

Para que se consideren relevantes para el proyecto Living Off The Land Binaries And Scripts, los scripts, bibliotecas o binarios deben estar presentes en el sistema de forma predeterminada o instalarse a través de proveedores de software confiables o fuentes de código abierto. Además, deben proporcionar funciones inesperadas que puedan reutilizarse con fines de ataque. Tales funciones incluyen:

• Ejecutar código de programa o scripts
• Compilando el código del programa
• Omitir el control de cuentas de usuario
• Reading tráfico de red o actividad del usuario
• DLL de carga lateral o secuestro
• Volcado de memoria de proceso
• Lectura de credenciales de inicio de sesión
• Operaciones de archivos como descargas y cargas de archivos

¿Cómo funciona LOLBÁS?

Los ataques LOLBAS funcionan mediante el uso de scripts y binarios legítimos de Windows para llevar a cabo actividades maliciosas. Estas herramientas a menudo ya están presentes en la computadora de la víctima y los atacantes pueden utilizarlas para evadir la detección del software de seguridad.

Por ejemplo, un atacante puede utilizar una técnica LOLBAS para ejecutar un script de PowerShell que ya está presente en el sistema para descargar y ejecutar código malicioso adicional. Dado que PowerShell es una herramienta legítima utilizada por los administradores de sistemas, es posible que el software de seguridad no la marque como sospechosa.

De manera similar, el atacante podría utilizar una herramienta legítima del sistema como “wmic.exe” o “regsvr32.exe” para ejecutar código malicioso o eludir los controles de seguridad.

Los ataques LOLBAS se utilizan a menudo junto con otras técnicas, como ingeniería social o phishing, para obtener acceso inicial a la computadora de la víctima. Una vez que el atacante se afianza en el sistema, puede utilizar técnicas LOLBAS para escalar privilegios, moverse lateralmente a través de la red y llevar a cabo sus objetivos maliciosos.

La defensa contra los ataques LOLBAS requiere un enfoque de múltiples capas que incluye fuertes controles de acceso, actualizaciones y parches regulares del sistema, capacitación en concientización sobre seguridad para los usuarios y el uso de software de seguridad avanzado que pueda detectar y bloquear actividades sospechosas.

Protección contra ataques LOLBAS

La protección contra los ataques de LOLBAS es difícil. Debido a que los programas en ejecución son herramientas internas del sistema operativo o software de fuentes confiables, las acciones maliciosas a menudo pasan desapercibidas para los programas antivirus y antimalware estándar. Se deben tomar precauciones especiales para la protección. En algunos casos, estos deben ser implementados por el sistema operativo o por los propios fabricantes de software.

Además, se pueden utilizar soluciones de protección avanzadas e inteligentes, que comienzan en diferentes puntos del sistema a monitorear. Por ejemplo, el tráfico de la red y el comportamiento de varios procesos se monitorean continuamente para identificar anomalías.

Formas efectivas de prevenir ataques LOLBAS

La prevención de ataques LOLBAS requiere un enfoque de múltiples capas que incluya medidas tanto técnicas como no técnicas. A continuación se muestran algunas formas efectivas de prevenir ataques LOLBAS:

• Parchee y actualice los sistemas periódicamente: Mantener el software y los sistemas operativos actualizados puede evitar que los atacantes aprovechen las vulnerabilidades conocidas en estos sistemas.
• Implementar controles de acceso: Limitar el acceso a sistemas críticos y datos confidenciales puede evitar que los atacantes utilicen técnicas LOLBAS para escalar privilegios o moverse lateralmente a través de la red.
• Utilice software de seguridad avanzado: DEl uso de software de seguridad que pueda detectar y bloquear actividades sospechosas, incluido el uso indebido de herramientas y archivos binarios legítimos, puede ayudar a prevenir ataques LOLBAS.
• Utilice capacitación en concientización sobre seguridad: Educar a los usuarios sobre los riesgos del phishing, la ingeniería social y otras técnicas de ataque comunes puede ayudar a prevenir el acceso inicial al sistema.
• Monitorear la actividad del sistema: Monitorear periódicamente la actividad del sistema en busca de signos de actividad sospechosa puede ayudar a detectar y prevenir ataques LOLBAS.
• Implemente una política de privilegios mínimos: restringir los privilegios del usuario solo a las funciones y tareas necesarias puede evitar que los atacantes aprovechen los privilegios de nivel superior.
• Implementar la lista blanca de aplicaciones: Limitar el uso de archivos binarios y herramientas del sistema solo a aquellos que sean necesarios para fines comerciales puede evitar que los atacantes los utilicen para actividades maliciosas.

Al implementar estas medidas, las organizaciones pueden reducir significativamente el riesgo de ataques LOLBAS y mejorar su postura general de seguridad. Es importante señalar que ninguna medida por sí sola puede prevenir completamente los ataques y que es necesario un enfoque de múltiples niveles para una defensa eficaz.

¿Qué se vive de los ataques terrestres? (LOTL)

Los ataques LOTL Living off the land se refieren a un tipo de ciberataque que utiliza herramientas y software legítimos ya presentes en la computadora de la víctima para llevar a cabo actividades maliciosas. Los atacantes utilizan estas herramientas y software para evadir la detección por parte del software de seguridad, que puede no marcarlos como sospechosos porque son legítimos.

Los ataques Living off the land se utilizan a menudo en combinación con otras técnicas de ataque, como el phishing o la ingeniería social, para obtener acceso inicial al sistema de la víctima. Una vez que el atacante se ha afianzado en el sistema, puede utilizar técnicas LOTL para escalar privilegios, moverse lateralmente a través de la red y llevar a cabo sus objetivos maliciosos.

Vivir de los ataques terrestres puede adoptar muchas formas, entre ellas:

• Uso de herramientas legítimas del sistema como PowerShell, WMI y regsvr32.exe para ejecutar código malicioso.
• Explotación de aplicaciones legítimas, como navegadores web o Microsoft Office, para distribuir malware.
• Uso de herramientas administrativas como PsExec o servicios de escritorio remoto para obtener acceso remoto a los sistemas.
• Uso de lenguajes de scripting como VBScript o JavaScript para ejecutar código malicioso.
• Uso de servicios legítimos en la nube como Dropbox o Google Drive para almacenar y distribuir malware.

La prevención de ataques LOTL requiere un enfoque de múltiples capas que incluye controles de acceso sólidos, actualizaciones y parches periódicos del sistema, capacitación en concientización sobre seguridad para los usuarios y el uso de software de seguridad avanzado que pueda detectar y bloquear actividades sospechosas.

Al implementar estas medidas, las organizaciones pueden reducir significativamente el riesgo de ataques y mejorar su postura general de seguridad.

Ejemplos de LOLBins, LOLLibs y LOLScripts específicos que han sido documentados por el proyecto LOLBAS

El proyecto LOLBAS (Living Off The Land Binaries And Scripts) es una iniciativa impulsada por la comunidad que tiene como objetivo documentar varios binarios, bibliotecas y scripts legítimos que los atacantes pueden utilizar para evadir la detección y ejecutar acciones maliciosas en un sistema comprometido. A continuación se muestran algunos ejemplos de LOLBins, LOLLibs y LOLScripts específicos que han sido documentados por el proyecto:

Contenedores LOLB

• regsvr32.exe: un binario legítimo utilizado para registrar archivos DLL COM, pero del que se puede abusar para ejecutar código arbitrario pasando un archivo DLL malicioso como argumento.
• schtasks.exe: un binario legítimo que se utiliza para programar tareas, pero del que se puede abusar para ejecutar comandos arbitrarios con privilegios de SISTEMA.
• wmic.exe: un binario legítimo utilizado para administrar la configuración y los servicios del sistema, pero del que se puede abusar para ejecutar comandos arbitrarios de forma remota y extraer datos.

LOLLibs

• mshtml.dll: una biblioteca legítima utilizada por Internet Explorer, pero de la que se puede abusar para ejecutar código arbitrario mediante la creación de cargas útiles HTML y JavaScript.
• clr.dll: una biblioteca legítima utilizada por aplicaciones .NET, pero de la que se puede abusar para ejecutar código arbitrario cargando un ensamblado .NET malicioso.

LOLScripts

• PowerShell: un lenguaje de secuencias de comandos legítimo utilizado por los administradores de sistemas, pero del que se puede abusar para ejecutar código arbitrario y descargar y ejecutar cargas útiles maliciosas.
• VBScript: un lenguaje de secuencias de comandos legítimo utilizado por los administradores de sistemas, pero del que se puede abusar para ejecutar código arbitrario y descargar y ejecutar cargas útiles maliciosas.
• JavaScript: un lenguaje de secuencias de comandos legítimo utilizado por los navegadores web, pero del que se puede abusar para ejecutar código arbitrario y realizar diversas acciones maliciosas.

Vale la pena señalar que estos son solo algunos ejemplos y que hay muchos otros LOLBins, LOLLibs y LOLScripts documentados por el proyecto LOLBAS.

Casos del mundo real de ataques LOLBAS y sus consecuencias

Ha habido varios casos en el mundo real de atacantes que utilizan técnicas LOLBAS para llevar a cabo ataques y evadir la detección. Aquí están algunos ejemplos:

• APT32 (OceanLotus): En 2019, se descubrió que este grupo vietnamita de APT utilizaba LOLBins y LOLScripts para evadir la detección. Utilizaron varias herramientas integradas de Windows como BITSAdmin, regsvr32 y PowerShell para descargar y ejecutar cargas útiles maliciosas, filtrar datos y realizar otras acciones maliciosas en los sistemas de la víctima.
• oscurohotel: este grupo de amenazas persistentes avanzadas ha estado utilizando LOLBins y LOLScripts desde al menos 2014. Han utilizado herramientas integradas de Windows como PowerShell, wmic y netsh para descargar y ejecutar cargas útiles maliciosas, filtrar datos y realizar otras acciones maliciosas en el sitio de la víctima. sistemas.
• FIN7: Este grupo de cibercrimen con motivación financiera ha estado utilizando LOLBins y LOLScripts desde al menos 2016. Han utilizado herramientas integradas de Windows como regsvr32, schtasks y wmic para descargar y ejecutar cargas útiles maliciosas, filtrar datos y realizar otras acciones maliciosas en el sitio de la víctima. sistemas. También han utilizado LOLLibs como mshtml.dll para ejecutar código arbitrario.

En todos estos casos, el uso de técnicas LOLBAS permitió a los atacantes evadir la detección y llevar a cabo sus ataques con éxito. Las consecuencias de estos ataques pueden ser graves, desde el robo de datos confidenciales hasta la interrupción de sistemas y servicios críticos. Como tal, es importante que las organizaciones sean conscientes de estas técnicas y tomen las medidas adecuadas para proteger sus sistemas y redes.

Esto incluye implementar fuertes controles de seguridad, monitorear actividades sospechosas y capacitar a los empleados para reconocer y responder a amenazas potenciales.

La diferencia entre LOLBins y LOLScripts y sus funciones específicas en un ataque

• LOLBins y LOLScripts son técnicas utilizadas por los atacantes para ejecutar acciones maliciosas en el sistema de una víctima. Sin embargo, difieren en su implementación y en los tipos de herramientas utilizadas.
• LOLBins se refieren a archivos binarios o ejecutables legítimos que ya están presentes en el sistema de destino. Se trata de herramientas integradas en el sistema operativo o aplicaciones comúnmente instaladas destinadas a realizar funciones legítimas. Los atacantes utilizan LOLBins para evitar la detección por parte de herramientas de seguridad que pueden estar monitoreando actividades sospechosas.
  Al utilizar una herramienta legítima, el atacante puede mezclarse con la actividad normal del sistema y evitar generar alarmas. Para utilizar un LOLBin, el atacante a menudo modificará los argumentos o parámetros pasados ​​a la herramienta, o le proporcionará un archivo malicioso o una carga útil para ejecutar. Algunos ejemplos de LOLBins de uso común incluyen regsvr32, wmic y schtasks.
• Los LOLScripts, por otro lado, son scripts o código interpretado que están escritos en lenguajes de scripting como PowerShell, VBScript o Python. Al igual que LOLBins, los atacantes también utilizan LOLScripts para evadir la detección de las herramientas de seguridad, pero brindan más flexibilidad y control sobre las acciones que se realizan en el sistema de destino.
  LOLScripts se puede utilizar para ejecutar una amplia gama de acciones maliciosas, como descargar y ejecutar cargas útiles maliciosas, modificar la configuración del sistema, filtrar datos y más. Para utilizar un LOLScript, el atacante normalmente escribirá o modificará un script para realizar las acciones deseadas y luego lo ejecutará en el sistema de destino.

Si bien tanto los LOLBins como los LOLScripts se utilizan para evadir la detección, los LOLBins se basan en la modificación de los argumentos pasados ​​a herramientas legítimas para ejecutar código malicioso, mientras que los LOLScripts utilizan código interpretado para realizar una gama más amplia de acciones maliciosas.

Cómo identificar técnicas LOLBAS en el tráfico de red y registros del sistema

Identificar las técnicas LOLBAS en el tráfico de red y en los registros del sistema puede ser un desafío, ya que estas técnicas a menudo dependen de herramientas y técnicas legítimas que pueden no ser inmediatamente obvias como maliciosas. Sin embargo, existen algunos indicadores que pueden ayudar a identificar actividades sospechosas que puedan estar asociadas con las técnicas LOLBAS. Aquí están algunos ejemplos:

• Tráfico de red: Busque tráfico de red asociado con LOLBins o LOLScripts de uso común, como wmic, schtasks o PowerShell. Esto podría incluir tráfico a direcciones IP o dominios sospechosos, o patrones de tráfico inusuales que sugieren exfiltración de datos o comunicación de comando y control (C2).
• Monitoreo de procesos: Esté atento a las herramientas de monitoreo de procesos, como Process Monitor, para identificar cualquier comportamiento inusual de LOLBins o LOLScripts de uso común. Esto podría incluir argumentos o parámetros inusuales pasados ​​a la herramienta, o intentos de acceder o modificar archivos o configuraciones del sistema.
• Inicio de sesión: habilite el registro en sistemas y aplicaciones críticos y supervise los registros en busca de actividad sospechosa. Esto podría incluir intentos de ejecutar LOLBins o LOLScripts conocidos, comportamiento inusual de usuarios o aplicaciones, o intentos de acceder o modificar datos o configuraciones confidenciales.
• Analisis de comportamiento: utilice herramientas de análisis de comportamiento, como sistemas de respuesta y detección de puntos finales (EDR), para identificar comportamientos sospechosos en los puntos finales. Esto podría incluir intentos de ejecutar comandos o scripts inusuales, o actividad de red inusual desde un punto final en particular.
• Inteligencia de amenazas: Manténgase actualizado con la información sobre amenazas más reciente, como indicadores de compromiso (IOC) y patrones de ataque conocidos asociados con las técnicas LOLBAS. Esto puede ayudar a identificar actividades sospechosas que puedan estar asociadas con amenazas conocidas.

Identificar las técnicas LOLBAS requiere una combinación de experiencia técnica, inteligencia sobre amenazas y monitoreo proactivo de la actividad de la red y el sistema. Al aprovechar estos recursos, las organizaciones pueden identificar y responder mejor a las amenazas potenciales asociadas con las técnicas LOLBAS.

La historia y evolución de los ataques LOLBAS y su uso en ciberdelincuencia

El concepto de LOLBins (Living Off the Land Binaries) y LOLScripts (Living Off the Land Scripts) existe desde hace algún tiempo, pero el término fue popularizado por la comunidad de ciberseguridad a mediados de la década de 2010. La idea detrás de los ataques LOLBAS es utilizar herramientas y comandos legítimos que ya están presentes en el sistema de destino para ejecutar acciones maliciosas, en lugar de depender del malware tradicional que puede ser detectado por herramientas de seguridad.

Los ataques LOLBAS se han vuelto cada vez más populares entre los ciberdelincuentes en los últimos años, ya que permiten a los atacantes evadir la detección de las herramientas de seguridad y mezclarse con la actividad normal del sistema. Los atacantes pueden utilizar herramientas integradas de Windows como PowerShell, regsvr32 y wmic, así como aplicaciones comúnmente instaladas como Microsoft Office y Adobe Reader, para ejecutar cargas útiles maliciosas y realizar otras acciones maliciosas en el sistema de la víctima. Esto hace que sea más difícil para las herramientas de seguridad detectar y prevenir el ataque.

Los ataques LOLBAS se utilizan a menudo como parte de una campaña de ataque más amplia, como un ataque de phishing o de phishing, para obtener acceso inicial al sistema de la víctima. Una vez obtenido el acceso, el atacante puede utilizar técnicas LOLBAS para escalar privilegios, moverse lateralmente a través de la red y filtrar datos confidenciales.

El uso de técnicas LOLBAS en ciberdelincuencia ha evolucionado con el tiempo. Inicialmente, los atacantes se centraban en utilizar herramientas integradas de Windows para llevar a cabo ataques, pero más recientemente han comenzado a utilizar técnicas más sofisticadas, como aprovechar las vulnerabilidades de secuestro de DLL para ejecutar código arbitrario o utilizar LOLScripts para eludir los controles de seguridad e instalar malware. en el sistema de la víctima.

Como resultado del uso cada vez mayor de técnicas LOLBAS en el delito cibernético, ha habido un énfasis creciente en la necesidad de que las organizaciones implementen controles de seguridad y mecanismos de monitoreo más sólidos. Esto incluye parches y actualizaciones periódicas de los sistemas, implementación de herramientas de seguridad como sistemas de respuesta y detección de puntos finales (EDR) y soluciones de análisis de tráfico de red (NTA), y capacitación periódica en ciberseguridad a los empleados.

Al mantenerse informadas sobre las últimas amenazas y tomar medidas proactivas para mitigarlas, las organizaciones pueden protegerse mejor contra los ataques LOLBAS y otras amenazas cibernéticas.

El papel de la inteligencia artificial y el aprendizaje automático en la detección y prevención de ataques LOLBAS

La inteligencia artificial (IA) y el aprendizaje automático (ML) pueden desempeñar un papel importante en la detección y prevención de ataques LOLBAS. Estas tecnologías se pueden utilizar para identificar patrones y anomalías en la actividad del sistema y de la red que pueden ser indicativos de un ataque LOLBAS. A continuación se muestran algunas formas en que se pueden utilizar la IA y el ML para detectar y prevenir ataques LOLBAS:

• Análisis de comportamiento: Los algoritmos de IA y ML se pueden entrenar para analizar el comportamiento normal del sistema y de la red, y para detectar desviaciones de ese comportamiento que puedan ser indicativas de un ataque LOLBAS. Por ejemplo, un algoritmo puede detectar la ejecución de un comando inusual o el acceso a un archivo al que no se había accedido antes.
• Análisis predictivo: Los algoritmos de IA y ML se pueden utilizar para analizar grandes volúmenes de datos para identificar patrones y tendencias que pueden indicar un posible ataque LOLBAS. Por ejemplo, un algoritmo puede detectar un aumento repentino en el tráfico de red hacia una dirección IP o dominio específico, o una gran cantidad de solicitudes realizadas a una aplicación específica.
• Inteligencia de amenazas: La IA y el ML se pueden utilizar para analizar fuentes de inteligencia sobre amenazas y otras fuentes de datos para identificar posibles ataques LOLBAS. Por ejemplo, un algoritmo puede analizar las redes sociales y las conversaciones en la web oscura para detectar el uso de técnicas LOLBAS específicas por parte de actores de amenazas.
• Análisis de tráfico de red: La IA y el ML se pueden utilizar para analizar el tráfico de la red en tiempo real e identificar anomalías que pueden ser indicativas de un ataque LOLBAS. Por ejemplo, un algoritmo puede detectar solicitudes DNS o solicitudes HTTP inusuales que pueden estar asociadas con un servidor C2.
• Automatización de respuesta: La IA y el ML se pueden utilizar para automatizar las respuestas a los ataques LOLBAS, como poner en cuarentena un punto final específico o bloquear el tráfico de red a una dirección IP o dominio específico.

La IA y el ML se pueden utilizar para detectar y prevenir ataques LOLBAS analizando patrones y anomalías en la actividad del sistema y de la red, prediciendo amenazas potenciales y automatizando las respuestas a amenazas potenciales. Al aprovechar estas tecnologías, las organizaciones pueden protegerse mejor contra los ataques LOLBAS y otras amenazas cibernéticas.

Las implicaciones éticas del uso de técnicas LOLBAS en pruebas de penetración e investigación de seguridad.

El uso de técnicas LOLBAS en pruebas de penetración e investigación de seguridad plantea varias implicaciones éticas que deben considerarse cuidadosamente. Aquí hay algunas posibles preocupaciones éticas:

• Acceso no autorizado: Las técnicas LOLBAS suelen implicar el uso de herramientas y comandos legítimos para llevar a cabo acciones maliciosas. En un escenario del mundo real, esto podría considerarse acceso no autorizado a un sistema o red. Como tal, es importante que los evaluadores de penetración y los investigadores de seguridad obtengan la autorización adecuada antes de realizar cualquier prueba que implique el uso de técnicas LOLBAS.
• Daño a sistemas y datos: Si no se ejecutan correctamente, las técnicas LOLBAS pueden causar daños al sistema o la red de destino, lo que podría provocar pérdida de datos, tiempo de inactividad del sistema u otras consecuencias negativas. Los evaluadores de penetración y los investigadores de seguridad deben asegurarse de comprender completamente el impacto potencial del uso de técnicas LOLBAS antes de realizar cualquier prueba.
• Implicaciones legales: El uso de técnicas LOLBAS puede violar leyes y regulaciones relacionadas con delitos informáticos, piratería informática y privacidad de datos. Los evaluadores de penetración y los investigadores de seguridad deben asegurarse de estar familiarizados con todas las leyes y regulaciones aplicables antes de realizar cualquier prueba que implique el uso de técnicas LOLBAS.
• Consentimiento informado: En algunos casos, el uso de técnicas LOLBAS puede implicar la recopilación o el acceso a datos confidenciales. Como tal, es importante obtener el consentimiento informado de todas las partes involucradas en cualquier prueba que implique el uso de técnicas LOLBAS.
• Daño a la reputación: El uso de técnicas LOLBAS puede generar publicidad negativa y dañar la reputación de la organización sometida a prueba. Como tal, es importante que los evaluadores de penetración y los investigadores de seguridad realicen pruebas de manera profesional y ética, y se comuniquen con la organización que se está probando para minimizar el riesgo de consecuencias negativas.

El uso de técnicas LOLBAS en pruebas de penetración e investigaciones de seguridad plantea varias implicaciones éticas relacionadas con el acceso no autorizado, daños potenciales a sistemas y datos, implicaciones legales, consentimiento informado y daños a la reputación. Los evaluadores de penetración y los investigadores de seguridad deben considerar cuidadosamente estas implicaciones antes de utilizar técnicas LOLBAS y deben asegurarse de realizar las pruebas de manera profesional y ética.

El impacto potencial de los ataques LOLBAS en la infraestructura crítica y la seguridad nacional

Los ataques LOLBAS tienen el potencial de causar daños importantes a la infraestructura crítica y la seguridad nacional. Aquí hay algunos impactos potenciales:

• Interrupción de servicios esenciales: Los ataques LOLBAS podrían usarse para interrumpir servicios esenciales como los sistemas de energía, agua y transporte, causando interrupciones generalizadas y potencialmente generando problemas de seguridad pública.
• Robo o destrucción de datos: Los ataques LOLBAS podrían usarse para robar o destruir datos confidenciales, comprometiendo potencialmente la seguridad nacional o exponiendo información confidencial.
• Daño económico: Las perturbaciones causadas por los ataques de LOLBAS podrían tener un impacto significativo en la economía, particularmente si afectan a industrias clave como las finanzas, la energía o el transporte.
• Preocupaciones de seguridad pública: Los ataques LOLBAS podrían crear problemas de seguridad pública si afectan infraestructura crítica u otros servicios esenciales. Por ejemplo, si un ataque LOLBAS provocara un corte de energía en un hospital, podría tener graves consecuencias para los pacientes.
• Espionaje cibernético: Los ataques LOLBAS podrían usarse para ciberespionaje, permitiendo a los actores de amenazas obtener acceso a información gubernamental o militar confidencial.

Dado el impacto potencial de los ataques LOLBAS en la infraestructura crítica y la seguridad nacional, es esencial que las organizaciones y los gobiernos tomen las medidas adecuadas para prevenir y detectar este tipo de ataques. Esto puede incluir la implementación de medidas de seguridad avanzadas, la capacitación del personal sobre las mejores prácticas de ciberseguridad y el desarrollo de planes eficaces de respuesta a incidentes.

Además, la colaboración entre entidades de los sectores público y privado puede ayudar a mejorar la ciberseguridad y mitigar el riesgo de ataques LOLBAS.

LOLBÁS – Preguntas Frecuentes

¿Qué es un LOLBins? ¿Cuál es un ejemplo de LOLBin?

LOLBins, o Living Off The Land Binaries, se refieren a archivos binarios o ejecutables legítimos del sistema que los atacantes pueden utilizar para realizar acciones maliciosas en un sistema comprometido. Estos archivos binarios suelen estar presentes en un sistema de forma predeterminada y el software de seguridad confía en ellos, lo que los convierte en una opción atractiva para que los atacantes evadan la detección.

Ejemplos de LOLBins incluyen utilidades como PowerShell, Regsvr32 y WMIC. Los atacantes pueden utilizar estas herramientas para ejecutar código malicioso, descargar y ejecutar cargas útiles adicionales o moverse lateralmente dentro de una red.

¿Cuáles son los LOLBins más utilizados?

Algunos de los LOLBins más utilizados incluyen:

• PowerShell – un shell de línea de comandos y un lenguaje de secuencias de comandos que se utiliza para tareas de administración del sistema, pero que también se puede utilizar para ejecutar secuencias de comandos o comandos maliciosos.
• Certutil – una herramienta integrada de Windows que se utiliza para administrar certificados, pero que también se puede utilizar para descargar y decodificar archivos de Internet.
• Regsvr32 – una utilidad de Windows que se utiliza para registrar y anular el registro de archivos DLL, pero que también se puede utilizar para ejecutar código malicioso.
• Mshta – un host de aplicaciones HTML de Microsoft que se puede utilizar para ejecutar código JavaScript y VBScript.

Es importante tener en cuenta que los LOLBins en sí no son maliciosos y que muchos administradores e investigadores de seguridad legítimos utilizan estas herramientas con fines de administración y prueba del sistema.

Sin embargo, los atacantes pueden abusar de estas herramientas para llevar a cabo actividades maliciosas y los profesionales de la seguridad deben conocer estas técnicas para detectar y mitigar amenazas potenciales.

¿Cuál es la diferencia entre LOLBAS y malware?

LOLBAS (Living Off The Land Binaries and Scripts) y el malware se diferencian en varios aspectos. El malware suele diseñarse y utilizarse con fines maliciosos, mientras que LOLBAS se refiere a archivos binarios o scripts legítimos del sistema que pueden utilizar tanto atacantes como defensores.

Los atacantes pueden utilizar LOLBAS para evadir la detección y llevar a cabo actividades maliciosas, pero los defensores también pueden utilizarlos con fines de administración del sistema y pruebas de seguridad.

¿Cómo se puede utilizar LOLBAS para siempre?

LOLBAS se puede utilizar para siempre cuando lo utilizan administradores de sistemas o profesionales de seguridad con fines legítimos, como tareas de administración de sistemas o pruebas de penetración. Al utilizar estas herramientas, los administradores y profesionales pueden mejorar la postura de seguridad de sus sistemas e identificar posibles vulnerabilidades.

¿Cómo se puede utilizar LOLBAS para el mal?

Por otro lado, los LOLBAS pueden ser utilizados para el mal cuando son utilizados por atacantes para realizar actividades maliciosas, como robar datos, ejecutar código o moverse lateralmente dentro de una red. Los atacantes pueden utilizar estas herramientas para evadir la detección y eludir los controles de seguridad, lo que dificulta que los defensores detecten y respondan a los ataques.

¿Cómo puedo crear mis propios LOLBAS?

Crear su propio LOLBAS requiere un conocimiento profundo de la administración y programación de sistemas. Para crear un LOLBAS, deberá identificar un sistema binario o script legítimo que pueda usarse para el propósito deseado y modificarlo para ejecutar su propio código. Sin embargo, es importante tener en cuenta que crear y utilizar LOLBAS con fines maliciosos es ilegal y puede dar lugar a cargos penales.

¿Cuáles son algunas de las mejores herramientas LOLBAS?

Algunas herramientas LOLBAS populares incluyen PowerShell, WMIC, Regsvr32 y BITSAdmin. Los atacantes suelen utilizar estas herramientas para llevar a cabo diversas actividades maliciosas en un sistema comprometido.

¿Cuáles son algunas de las mejores técnicas LOLBAS?

Algunas de las mejores técnicas de LOLBAS incluyen el uso de malware sin archivos, el aprovechamiento de scripts o archivos binarios legítimos del sistema y el uso de herramientas de ejecución remota de comandos como PsExec o WinRM. Estas técnicas pueden ayudar a los atacantes a evadir la detección y realizar actividades maliciosas en un sistema comprometido.

¿Cómo puedo saber más sobre LOLBAS?

Para obtener más información sobre LOLBAS, puede investigar y leer artículos y blogs escritos por investigadores y profesionales de la seguridad. También hay varios cursos en línea y programas de capacitación disponibles que cubren el uso de LOLBAS en pruebas de penetración y equipos rojos.

¿Hay algún recurso de LOLBAS que pueda utilizar?

Hay varios recursos LOLBAS disponibles, incluidos repositorios en GitHub y otras plataformas en línea que contienen una amplia variedad de scripts y archivos binarios legítimos del sistema que pueden usarse con fines de administración del sistema y pruebas de seguridad.

Sin embargo, es importante tener en cuenta que algunos de estos recursos pueden contener contenido malicioso y los usuarios deben tener cuidado al descargar y utilizar estas herramientas.