Aprovechando LOLBins: rundll32.exe Lab y Detección con Sysmon

1. Introducción

Cuando un atacante compromete un sistema Windows no siempre despliega malware evidente. Con frecuencia vive de la tierra abusando de herramientas nativas que los administradores usan a diario. Estas utilidades, conocidas como LOLBins Living Off the Land Binaries, están firmadas por Microsoft y son de confianza para el sistema operativo, por lo que su uso indebido suele evadir antivirus y muchos controles de seguridad.

En este artículo explico qué son los LOLBins, por qué resultan tan sigilosos y presento un laboratorio práctico donde una DLL sencilla se ejecuta con rundll32.exe. Finalmente cambiamos la perspectiva al lado defensor y revisamos cómo los registros de Sysmon dejan huellas claras de este abuso.

2. Qué son los LOLBins

Los LOLBins son ejecutables y scripts legítimos que vienen preinstalados en el sistema operativo. Un adversario puede abusarlos para descargar payloads, ejecutar código arbitrario, moverse lateralmente y exfiltrar datos sin introducir binarios propios. Ejemplos comunes en Windows incluyen rundll32.exe, certutil.exe, powershell.exe y mshta.exe. Al estar firmados por Microsoft y usarse en tareas de administración, su ejecución genera menos sospecha.

Cómo los usan los atacantes: descarga de ficheros y payloads, ejecución de funciones exportadas, proxy de comandos maliciosos a través de utilidades normales, persistencia y movimiento lateral, exfiltración. Cómo los detecta el defensor: monitorización de argumentos en la línea de comandos, análisis de relaciones de procesos padre e hijo, y telemetría de Sysmon o soluciones EDR.

3. Por qué son sigilosos

Su sigilo se explica por varios factores: son binarios de confianza ya presentes en el sistema; reducen la necesidad de introducir nuevos ejecutables disminuyendo el riesgo de detección por AV; permiten encubrir comandos maliciosos usando utilidades administrativas legítimas por ejemplo certutil para descargas o rundll32 para ejecutar DLL; su actividad se mezcla con el comportamiento normal del sistema y a menudo heredan privilegios elevados que otorgan mucho poder pareciendo benignos.

4. Laboratorio

4.1 Escenario básico solo Windows

Se compila localmente una DLL inofensiva llamada Hello.dll con una función exportada y se ejecuta con rundll32.exe. El resultado visible es una ventana emergente de saludo, pero el mismo método podría cargar un beacon, un keylogger o incluso ransomware. Por qué rundll32.exe es relevante para ofensiva y defensiva: es un LOLBin integrado y firmado, puede cargar y ejecutar DLL arbitrarias y a veces esquiva controles de listas de permitidos.

4.2 Escenario avanzado Kali y Windows

Se simula un caso más realista. Paso 1 intento de descarga de Hello.dll desde Kali a Windows utilizando certutil, bloqueado por Seguridad de Windows. Paso 2 cambio a PowerShell con Invoke WebRequest y la descarga se realiza con éxito. Paso 3 ejecución de la DLL mediante rundll32.exe. La combinación descarga sigilosa más ejecución con LOLBin refleja una cadena típica de ataque.

4.3 Actividades Blue Team detección con Sysmon

Sysmon con el Evento 1 creación de proceso revela el proceso sospechoso. Campos clave a vigilar en este evento: Image debería ser C:\Windows\System32\rundll32.exe; CommandLine muestra rundll32.exe cargando una DLL desde un directorio del usuario por ejemplo Desktop o Downloads, algo inusual; CurrentDirectory normalmente debería apuntar a System32, no a rutas del perfil del usuario; ParentImage y ParentCommandLine por ejemplo cmd.exe o powershell.exe indican ejecución manual o scripts; User e IntegrityLevel revelan quién y con qué privilegios se ejecutó; Hashes permiten rastrear la DLL y consultarla en fuentes como servicios de reputación. Buenas señales de alerta adicionales incluyen rundll32.exe referenciando rutas temporales o con extensiones no habituales, coincidencia temporal con descargas previas certutil o Invoke WebRequest, y ejecución con integridad alta fuera de flujos administrativos legítimos.

5. Conclusión

Los LOLBins recuerdan que un adversario no siempre necesita sus propias herramientas. Abusando de binarios confiables como rundll32.exe puede ejecutar código arbitrario, evadir defensas y camuflarse entre la actividad normal. Incluso una DLL de Hola Mundo ejemplifica lo peligroso de la técnica cuando se sustituye por carga real. Para defenderse conviene vigilar argumentos de línea de comandos, cadenas de procesos y rutas de ejecución por ejemplo DLL en directorios del usuario, además de consolidar telemetría de Sysmon y EDR en reglas de detección efectivas.

En Q2BSTUDIO acompañamos a las organizaciones con servicios de ciberseguridad, preparación de blue teams y ejercicios de red team y pentesting, fortaleciendo detecciones para LOLBins, hardening de endpoints y respuestas ante incidentes. Si buscas elevar tu postura defensiva y reducir superficie de ataque, visita nuestra página de ciberseguridad y pentesting.

Además, nuestro equipo integra el conocimiento ofensivo con soluciones de software a medida y aplicaciones a medida, incorporando inteligencia artificial e ia para empresas para automatizar detecciones y orquestación con agentes IA, y conectando telemetría con servicios inteligencia de negocio y power bi. Completamos el ciclo con despliegues seguros y escalables en servicios cloud aws y azure, todo orquestado por especialistas de Q2BSTUDIO para que tus iniciativas de seguridad y modernización tecnológica se traduzcan en valor real y medible.