LOLBAS
Katalogen över signerade Windows-program som kan förmås göra något helt annat än de är till för — ladda ner filer, köra kod, kringgå blocklistor.
Förkortningen står för Living Off The Land Binaries, Scripts and Libraries, och projektet listar systematiskt vilka inbyggda verktyg som har oväntade funktioner. certutil.exe finns för certifikathantering men laddar gärna ner en fil från internet och avkodar base64. mshta.exe kör HTML-applikationer, alltså skript. regsvr32.exe kan hämta och köra kod från en URL, vilket i åratal var det enklaste sättet förbi AppLocker. Attraktionen är att binärerna är signerade av Microsoft, finns på varje maskin och ofta redan är tillåtna. Motmedlet kan därför inte vara filsignaturer utan måste vara beteende — vilket program som startade vilket, och med vilka argument. Unix-motsvarigheten heter GTFOBins.