RB-ANALYSIS-024: Onderzoek naar misbruik van LOLBins

Documentbeheer

1. Vereisten

Zorg voordat je met dit runbook begint voor het volgende:

• Toegang tot EDR-telemetrie
• Toegang tot SIEM-telemetrie
• Logs van procesuitvoering zijn beschikbaar
• Command line-logging staat aan
• De hostnaam van het endpoint is vastgesteld
• De gebruikerscontext is vastgesteld
• Er is een incidentticket aangemaakt

2. Stap-voor-stap-instructies

1. Stel het gebruik van LOLBins vast

   Stel vast of bij de uitvoering een Living-Off-the-Land Binary (LOLBin) betrokken was.

   Veelvoorkomende voorbeelden zijn:

   • powershell.exe
   • cmd.exe
   • rundll32.exe
   • regsvr32.exe
   • mshta.exe
   • wmic.exe
   • certutil.exe
   • bitsadmin.exe
   • cscript.exe
   • wscript.exe
   • installutil.exe
   • msbuild.exe
   • schtasks.exe
   • net.exe
   • net1.exe

   Documenteer alle waargenomen LOLBins.

2. Verzamel de uitvoeringscontext

   Verzamel:

   • De volledige command line
   • Parent process
   • Child processes
   • Uitvoeringspad
   • Gebruikerscontext
   • Hostnaam
   • Tijdstip van uitvoering

   Review:

   • Procesafstamming
   • Bijbehorende activiteit
   • Gerelateerde alerts

3. Analyseer de parent-child-relaties

   Review:

   • De bron van de eerste uitvoering
   • Office-applicaties die LOLBins starten
   • Browsers die LOLBins starten
   • Scriptinterpreters die LOLBins starten
   • Uitvoering via services

   Stel verdachte uitvoeringsketens vast.

   Voorbeelden:

   • winword.exe → powershell.exe
   • outlook.exe → cmd.exe
   • chrome.exe → mshta.exe
   • excel.exe → rundll32.exe

4. Review de command line-activiteit

   Analyseer:

   • Downloadactiviteit
   • Toegang tot externe resources
   • Gecodeerde commando's
   • Verhulde inhoud
   • Laden van DLL's
   • Uitvoering van scripts
   • Wijzigingen in de registry

   Controleer op gangbare werkwijzen van aanvallers.

5. Beoordeel het doel van de LOLBin

   Stel vast of de LOLBin is gebruikt voor:

   • Execution
   • Persistence
   • Credential access
   • Discovery
   • Lateral movement
   • Klaarzetten van data
   • Data-exfiltratie
   • Defense evasion

   Documenteer de bevindingen.

6. Review de netwerkactiviteit

   Stel vast:

   • Uitgaande verbindingen
   • Gedownloade payloads
   • Toegang tot cloudopslag
   • Verdachte domeinen
   • Externe IP-adressen

   Correleer de netwerkactiviteit met de uitvoeringsgebeurtenissen.

7. Hunt naar aanvullende LOLBin-activiteit

   Zoek naar:

   • Vergelijkbare command lines
   • Gebruik van dezelfde LOLBin
   • Activiteit van dezelfde gebruiker
   • Hetzelfde parent process
   • Dezelfde bestemmingsinfrastructuur

   Vergroot de scope van het onderzoek waar nodig.

8. Stel de legitimiteit vast

   Valideer:

   • Goedgekeurde beheeractiviteit
   • Gebruik door IT-beheer
   • Activiteit van securitytooling
   • Software-uitrol
   • Uitvoering met toestemming van de gebruiker

   Documenteer de onderbouwing van het oordeel.

9. Escaleer indien nodig

   Als het bewijs op een ander type incident wijst:

   Activeer:

   • PB-003 Endpoint Malware
   • PB-004 Account Takeover
   • PB-005 Data Exfiltration
   • PB-009 Privilege Escalation
   • PB-010 Lateral Movement

   Ga tegelijk door met het huidige playbook.

10. Werk het incidentrecord bij

    Leg vast:

    • Vastgestelde LOLBins
    • Uitvoeringsketens
    • Command line-bevindingen
    • Bijbehorende activiteit
    • ATT&CK-mappings
    • Escalatiebesluiten

    Voeg ondersteunend bewijs toe.

3. Na afloop

Na afronding:

• Zorg dat alle LOLBin-activiteit is vastgelegd
• Zorg dat het command line-bewijs is bewaard
• Zorg dat de scope van het onderzoek is beoordeeld
• Zorg dat de escalatiebesluiten zijn vastgelegd
• Zorg dat het incidentticket is bijgewerkt

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.