Living off the land (LOLBins)
Une technique d'attaque où l'attaquant utilise des outils système légitimes déjà installés (PowerShell, WMI, certutil, PsExec) plutôt que ses propres binaires malveillants — pour se fondre dans le décor et échapper à la détection. « Vivre sur le terrain » signifie exploiter ce qui est déjà là.
Idée : l'antivirus traditionnel cherche des fichiers malveillants connus. En détournant à la place des outils intégrés légitimes (les « LOLBins », Living Off the Land Binaries), l'attaquant rend son activité difficile à distinguer d'une administration normale : PowerShell pour télécharger et exécuter du code en mémoire, certutil pour récupérer des fichiers, WMI pour la persistance et le déplacement latéral, rundll32/mshta pour exécuter du code. Rien de suspect n'est installé → la détection par signature échoue. Étroitement lié aux malwares sans fichier (exécution entièrement en mémoire, rien sur le disque). Défense : détection comportementale (un EDR qui observe ce que font les processus, pas comment ils s'appellent), journalisation PowerShell/mode de langage restreint, et contrôle applicatif. Le site LOLBAS catalogue la technique. Une tendance d'attaque majeure et actuelle.