Binários e Scripts "Living Off The Land" (e agora também Bibliotecas)

Todos os diferentes arquivos podem ser encontrados por trás de uma interface elegante aqui: https://lolbas-project.github.io (obrigado @ConsciousHacker por este mimo visual e a equipe do https://gtfobins.github.io/). Este repositório serve como um local onde mantemos os arquivos YML que são usados pela interface elegante.

Objetivo

O objetivo do projeto LOLBAS é documentar cada binário, script e biblioteca que podem ser usados para técnicas de "Living Off The Land".

Critérios

Um LOLBin/Lib/Script deve:

• Ser um arquivo assinado pela Microsoft, nativo do SO ou baixado da Microsoft.
• Ter funcionalidade extra "inesperada". Não é interessante documentar casos de uso intencionais.
  • Exceções são bypasses de lista de permissões de aplicativos.
• Ter funcionalidade que seria útil para um APT ou equipe vermelha.

Funcionalidades interessantes podem incluir:

• Execução de código
  • Execução de código arbitrário
  • Execução pass-through de outros programas (não assinados) ou scripts (através de um LOLBin)
• Compilação de código
• Operações com arquivos
  • Download
  • Upload
  • Cópia
• Persistência
  • Persistência pass-through utilizando um LOLBin existente
  • Persistência (ex.: ocultar dados em ADS, executar no logon)
• Bypass de UAC
• Roubo de credenciais
• Despejo de memória de processos
• Vigilância (ex.: keylogger, rastreamento de rede)
• Evasão/modificação de logs
• DLL side-loading/hijacking sem ser realocado em outro lugar do sistema de arquivos.

Não aprovamos binários que permitem coerção netntlm, já que a maioria dos binários do Windows permite isso. A única exceção são binários que permitem isso em portas diferentes das padrão (como rpcping) ou que podem permitir roubo direto de credenciais.

Contribuindo

Se você encontrou um novo LOLBin ou LOLScript que gostaria de contribuir, revise as diretrizes de contribuição localizadas aqui: https://github.com/LOLBAS-Project/LOLBAS/blob/master/CONTRIBUTING.md

Um template para o formato exigido foi fornecido aqui: https://github.com/LOLBAS-Project/LOLBAS/blob/master/YML-Template.yml

A História do LOLBin

A frase "Living off the land" foi cunhada por Christopher Campbell (@obscuresec) e Matt Graeber (@mattifestation) no DerbyCon 3.

O termo LOLBins surgiu de uma discussão no Twitter sobre como chamar binários que podem ser usados por um atacante para executar ações além de seu propósito original. Philip Goh (@MathCasualty) propôs LOLBins. Seguiu-se uma enquete altamente científica na internet e, após um consenso geral (69%), o nome foi tornado oficial. Jimmy (@bohops) seguiu com LOLScripts. Nenhuma enquete foi realizada.

Hashtags comuns para esses arquivos são:

• #LOLBin
• #LOLBins
• #LOLScript
• #LOLScripts
• #LOLLib
• #LOLLibs

Nosso mantenedor principal (@oddvarmoe) deste projeto fez uma palestra no DerbyCon 2018 chamada: #Lolbins Nothing to LOL about! - https://www.youtube.com/watch?v=NiYTdmZ8GR4 Esta palestra aborda a história deste projeto.

Mantenedores

As seguintes pessoas ajudam a manter o Projeto LOLBAS em seu tempo pessoal:

• Oddvar Moe (@oddvarmoe)
• Jimmy Bayne (@bohops)
• Conor Richard (@xenosCR)
• Chris 'Lopi' Spehn (@ConsciousHacker)
• Liam (@liamsomerville)
• Wietze (@Wietze)
• Jose Hernandez (@_josehelps)

Agradecimentos

Como muitos projetos de código aberto, este é produto de uma comunidade e gostaríamos de agradecer à nossa:

• O domínio http://lolbins.com foi registrado por um indivíduo desconhecido e redirecionado para a versão antiga deste projeto.
• O domínio http://lolbas-project.com foi registrado por Jimmy (@bohops).
• Os logotipos do projeto foram criados por Adam Nadrowski (@_sup_mane). Nós os #@&!!@#! amamos.

Aviso

• Consulte NOTICE.md para informações sobre licença.