LOLBAS : quand l'attaquant utilise vos propres outils

Un attaquant qui « vit sur le terrain » (living off the land) n'apporte aucun logiciel malveillant : il détourne des programmes déjà présents sur le poste, signés par l'éditeur du système, que l'antivirus n'a aucune raison de bloquer. Sous Windows, le projet communautaire LOLBAS (Living Off The Land Binaries, Scripts and Libraries) catalogue ces programmes. Cette leçon facultative vous apprend à les reconnaître, à les situer dans la kill chain, à choisir la mesure adaptée et à la typer, sans aucune recette d'attaque. Elle s'adresse aux personnes qui ont lu les leçons sur les phases d'une attaque et connaissent les types de mesures.

Ce que vous allez apprendre

Détourner un outil légitime est difficile à repérer parce que l'outil lui-même est irréprochable. Concrètement, vous saurez :

• Expliquer pourquoi un binaire signé et légitime peut servir une attaque sans être vulnérable.
• Distinguer les trois familles du catalogue : binaires, bibliothèques et scripts.
• Situer ces détournements dans les phases de la kill chain.
• Reconnaître trois indices d'un détournement dans une alerte ou un journal.
• Choisir une mesure et la typer : sa catégorie (technique ou organisationnelle) et son type (préventif ou détectif).

Pourquoi un outil légitime devient-il une arme ?

Parce que l'attaquant cherche l'outil que personne ne surveille, et le système en fournit des centaines. Un poste Windows contient des programmes qui téléchargent des fichiers, exécutent des scripts, encodent des données ou chargent des bibliothèques. Tous sont signés par Microsoft et nécessaires au système. Un antivirus fondé sur la réputation des fichiers n'y voit rien d'anormal, et bloquer le programme reviendrait à casser des fonctions que l'administration utilise chaque jour.

Le catalogue LOLBAS (projet communautaire, lolbas-project.github.io) recense ces détournements et les relie à une technique du référentiel MITRE ATT&CK. Ce n'est pas une liste de vulnérabilités : les programmes cités fonctionnent comme prévu, c'est leur usage qui est détourné. L'équivalent pour Linux et Unix est GTFOBins, traité dans la formation Durcissement.

Quelles sont les trois familles du catalogue ?

LOLBAS classe les éléments détournables en trois familles selon leur forme : binaires, bibliothèques et scripts. Cette classification aide à lire une alerte, parce qu'elle dit ce qu'on a sous les yeux.

Famille	Forme	Exemples de noms
LOLBins	Programmes exécutables (.exe) du système	certutil.exe, mshta.exe, rundll32.exe, msbuild.exe
LOLLibs	Bibliothèques (.dll) chargées par un autre programme	comsvcs.dll, shell32.dll
LOLScripts	Scripts (.vbs, .ps1, .bat) fournis avec le système	pubprn.vbs, winrm.vbs

Glissez pour voir

Ces noms servent à reconnaître un programme dans un journal, pas à le manipuler. Un nom de cette liste n'est pas suspect en soi : c'est le contexte (qui l'a lancé, avec quels arguments, vers où il communique) qui l'est.

Que peut faire un attaquant avec ces outils ?

Il les utilise pour les gestes dont il a besoin une fois entré : exécuter du code, télécharger un fichier, contourner une liste d'autorisation, récupérer des identifiants. Le tableau donne les grandes fonctions et la technique ATT&CK correspondante ; il décrit ce qu'on observe, pas comment le provoquer.

Fonction détournée	Ce que l'on observe	Technique ATT&CK
Exécution par un programme de confiance	Un programme signé lance du code qui n'est pas le sien	T1218 (exécution par proxy d'un binaire système)
Téléchargement	Un programme qui n'a pas de rôle réseau contacte une adresse externe	T1105 (transfert d'un outil vers la cible)
Contournement d'une liste d'autorisation (la liste des seuls programmes autorisés à s'exécuter)	Du code s'exécute malgré une règle qui devait l'interdire	T1218
Vol d'identifiants	Un programme lit la mémoire ou les secrets d'un autre	T1003 (extraction d'identifiants)
Brouillage	Contenu encodé ou renommé pour échapper à l'analyse	T1027 (fichiers ou informations obscurcis)

Glissez pour voir

Le schéma suivant relie ces éléments : il se lit de haut en bas, de la découverte des outils disponibles à l'impact, avec en bas la détection et la défense qui répondent. Les flèches pleines suivent le chemin de l'attaquant, les flèches en pointillé la réponse de la défense, qui coupe l'accès aux fonctions détournables.

Source · SVG

Échap pour fermer, + et − pour zoomer, défilement pour se déplacer. 100 % − Ajuster + Fermer

Où ces détournements se placent-ils dans la kill chain ?

Ils interviennent après l'accès initial, quand l'attaquant doit exécuter du code, s'installer et progresser sans se faire repérer. On les retrouve dans la phase d'exploitation (premier code exécuté), dans l'installation (persistance, télécharger l'outil suivant), et dans la phase après l'intrusion (vol d'identifiants, déplacement). C'est le terrain du rançongiciel et des intrusions patientes.

Un point de repère : le framework ATT&CK range ces usages sous les tactiques d'exécution et d'évasion de la défense. Quand une alerte cite l'une de ces techniques, plusieurs explications restent possibles : un usage légitime d'administration ou une mise à jour, un test autorisé de l'équipe qui joue l'attaquant (red team), une règle de détection mal réglée qui prend du normal pour du suspect, ou un attaquant déjà dans le poste parce que le contrôle d'entrée a échoué ou a été contourné. C'est ce qu'il faut départager, avec les trois indices de la section suivante.

Comment reconnaître un détournement ?

Trois indices combinés suffisent à faire lever un doute : le parent du processus, ses arguments et son réseau. Aucun n'est une preuve seul, car l'administration légitime utilise les mêmes outils.

• Un parent inhabituel (le parent est le programme qui en a lancé un autre) : un programme d'administration lancé par un logiciel de bureautique, un navigateur ou un lecteur de documents.
• Des arguments inhabituels : une adresse Internet, un chemin d'utilisateur temporaire ou un contenu encodé passé à un programme système.
• Un réseau inhabituel : un programme qui n'a aucune raison de communiquer vers l'extérieur ouvre une connexion.

Si les trois indices apparaissent ensemble, vous traitez l'alerte comme sérieuse : vous la signalez sans attendre à l'équipe sécurité, en notant le poste, l'heure et le nom du programme, et vous ne tentez pas de « réparer » le poste vous-même. La conduite de l'incident (isoler, préserver les traces, rétablir) relève de la réponse à incident, qui n'est pas l'objet de ce module.

Quelle mesure choisir, et de quel type ?

La mesure efficace combine une liste d'autorisation, une journalisation fine et une revue des droits. Chacune se classe par catégorie et par type, comme l'explique la leçon sur les types de mesures : technique préventive, technique détective, organisationnelle préventive.

Mesure	Type	Ce qu'elle apporte
WDAC ou AppLocker (deux fonctions de Windows qui n'autorisent que les programmes d'une liste) configurés pour n'autoriser que ce qui est nécessaire	Technique, préventive	Réduit les programmes autorisés à s'exécuter
Journalisation de la ligne de commande et de l'activité des processus (Sysmon, outil gratuit de Microsoft qui l'enregistre ; EDR, logiciel de détection installé sur le poste)	Technique, détective	Rend visible le parent, les arguments et le réseau
Retirer les droits d'administration inutiles et inventorier les outils nécessaires	Organisationnelle, préventive	Limite ce que l'attaquant peut faire avec un compte ordinaire

Glissez pour voir

Côté prévention (technique, préventive), le piège classique est que bloquer un binaire signé casse des usages légitimes : ces mesures se travaillent avec les équipes d'administration, pas contre elles, et la liste d'autorisation s'installe en deux temps. WDAC (aujourd'hui appelé App Control for Business) et AppLocker offrent chacun un mode qui journalise ce qu'ils auraient refusé sans rien bloquer : on le laisse tourner assez longtemps pour couvrir les usages réels (fin de mois, outils d'administration saisonniers), on traite les refus légitimes, puis on bascule en blocage. Microsoft publie aussi des règles de blocage recommandées pour les binaires connus pour être détournés : on les ajoute à la politique, toujours d'abord en audit, car certains de ces programmes servent à des tâches d'administration réelles.

Côté détection (technique, détective), la liste d'autorisation n'attrape que ce qu'elle interdit : il faut voir le reste. On journalise la création de processus avec sa ligne de commande, avec Sysmon ou avec l'audit natif de Windows (événement 4688 de création de processus, dont la ligne de commande n'est enregistrée que si le paramètre de stratégie de groupe « Include command line in process creation events » est activé), puis on centralise ces journaux hors du poste, dans un collecteur ou un SIEM (outil qui rassemble et corrèle les journaux). Un journal qui reste sur le poste compromis peut être effacé par l'attaquant ; centralisé, il garde la trace du parent, des arguments et du réseau qui servent aux trois indices.

À retenir

• Le living off the land détourne des programmes légitimes et signés déjà installés : l'antivirus n'a rien à bloquer.
• LOLBAS catalogue ces détournements pour Windows (binaires, bibliothèques, scripts) ; son équivalent Unix, GTFOBins, relève de la formation Durcissement.
• Ce n'est pas une vulnérabilité : le programme fonctionne comme prévu, c'est son usage qui est détourné.
• Ils servent après l'accès initial : exécution, installation, progression dans le réseau.
• Trois indices à croiser : parent, arguments et réseau du processus ; en cas de doute, on signale sans réparer soi-même.
• Mesures : liste d'autorisation (technique, préventive), journalisation centralisée hors du poste (technique, détective), revue des droits (organisationnelle) ; la liste se déploie d'abord en mode audit.

Contrôle de connaissances

Vérifiez que l'essentiel de ce guide est acquis. Les questions portent uniquement sur ce qui vient d'être expliqué ici.

Contrôle de connaissances

Validez vos connaissances avec ce quiz interactif

6 questions

6 min.

70% requis

Informations

• Le chronomètre démarre au clic sur Démarrer
• Questions à choix multiples, vrai/faux et réponses courtes
• Vous pouvez naviguer entre les questions
• Les résultats détaillés sont affichés à la fin

Démarrer le quiz

Lance le quiz et démarre le chronomètre

×

📖 Voir la documentation →