LOLBAS
Der Katalog signierter Windows-Programme, die sich dazu bringen lassen, etwas völlig anderes zu tun als vorgesehen — Dateien herunterladen, Code ausführen, Sperrlisten umgehen.
Die Abkürzung steht für Living Off The Land Binaries, Scripts and Libraries. Das Projekt listet systematisch auf, welche eingebauten Tools unerwartete Fähigkeiten besitzen. certutil.exe existiert für die Zertifikatsverwaltung, lädt aber ebenso bereitwillig eine Datei aus dem Internet und dekodiert Base64. mshta.exe führt HTML-Anwendungen aus, also Skripte. regsvr32.exe kann Code von einer URL abrufen und ausführen, was jahrelang der einfachste Weg an AppLocker vorbei war. Der Reiz liegt darin, dass die Binärdateien von Microsoft signiert sind, auf jeder Maschine vorhanden und oft schon erlaubt sind. Die Abwehr kann sich deshalb nicht auf Dateisignaturen stützen, sondern muss auf Verhalten achten — welches Programm was mit welchen Argumenten gestartet hat. Das Unix-Gegenstück heißt GTFOBins.