用途：主动狩猎攻击者滥用合法签名系统二进制（LOLBins）执行恶意载荷、下载文件或代理执行的行为。适用时机包括调查绕过传统杀毒的无文件恶意软件活动、针对防御规避技术的主动威胁狩猎、EDR 对合法二进制触发异常子进程告警、威胁情报显示活跃活动中存在 LOLBin 滥用，以及红队/紫队演练验证 T1218 检测覆盖。
主要能力：基于威胁情报形成狩猎假设；从 LOLBAS 项目数据库选择目标二进制（如 certutil、mshta、rundll32、regsvr32、msiexec、wmic、cmstp、bitsadmin）；查询 EDR 或 SIEM 的进程创建事件；建立各 LOLBin 的正常行为基线；识别异常（网络连接、编码命令、异常路径、异常父子进程链）；关联网络日志、DNS 查询、文件创建事件与威胁情报；记录发现、更新检测规则并生成 IOC 列表。
必要用法：需要 EDR 遥测（CrowdStrike、Microsoft Defender for Endpoint、SentinelOne）、带进程创建日志的 SIEM（Sysmon Event ID 1、Windows Security 4688）、熟悉 LOLBAS 项目参考列表、启用 PowerShell 命令行日志（模块日志、脚本块日志），以及用于关联出站连接的网络代理或防火墙日志。工作流为：定义狩猎假设、识别目标 LOLBin、收集进程遥测、基线正常行为、识别异常、关联与丰富、记录与报告。
适用场景：certutil 下载载荷、mshta 执行 HTA、rundll32 代理加载 DLL、regsvr32 Squiblydoo、bitsadmin 持久化等。
限制：资料未提供具体检测规则内容、查询语句、部署步骤或效果保证；实际狩猎依赖环境遥测覆盖与基线质量。