Living off the land (LOLBins)
Technika ataku, w której napastnik zamiast własnych złośliwych plików używa legalnych, już zainstalowanych narzędzi systemowych (PowerShell, WMI, certutil, PsExec), by wtopić się w tło i uniknąć wykrycia. „Życie z tego, co kraj da”.
Idea: klasyczny antywirus szuka znanych złośliwych plików. Gdy atakujący nadużywa wbudowanych narzędzi („LOLBins”, Living Off the Land Binaries), jego działania trudno odróżnić od zwykłej administracji: PowerShell pobiera i uruchamia kod w pamięci, certutil ściąga pliki, WMI służy do utrwalenia obecności i ruchu bocznego, rundll32 i mshta uruchamiają kod. Nic podejrzanego nie jest instalowane, więc wykrywanie oparte na sygnaturach zawodzi. Ściśle związane z malware bezplikowym (działa w całości w pamięci, nic na dysku). Obrona: wykrywanie behawioralne (EDR patrzy, co procesy ROBIĄ, a nie jak się nazywają), logowanie PowerShella i tryb Constrained Language oraz kontrola aplikacji. Technikę katalogizuje serwis LOLBAS. Jeden z głównych trendów współczesnych ataków.