用途：狩猎滥用 Windows 内置二进制（LOLBins）的文件less攻击技术，映射 MITRE T1218 及其子技术，适用于威胁情报指向 LOLBin 攻击、调查 certutil/mshta/rundll32/regsvr32 告警、紫队演练及评估终端检测覆盖时。
主要能力：建立高风险 LOLBin 监视清单（certutil.exe、mshta.exe、rundll32.exe、regsvr32.exe、msbuild.exe、installutil.exe、cmstp.exe、wmic.exe、wscript.exe、cscript.exe、bitsadmin.exe、powershell.exe）；基线化正常用法；狩猎异常命令行参数；分析父子进程关系；检查非常规路径执行；关联网络活动；按异常严重度评分排序。
必要用法：需 Sysmon 事件 ID 1（含完整命令行）、Windows 安全事件 ID 4688（启用命令行审计）、含父子进程关系的 EDR 遥测、SIEM（Splunk、Elastic、Microsoft Sentinel）及 LOLBAS 项目参考。提供 Splunk SPL、Microsoft Sentinel KQL 和 Sigma 规则示例，用于检测 certutil 下载解码、mshta 远程执行、regsvr32 Squiblydoo、rundll32 异常 DLL、msbuild 非常规项目、bitsadmin 下载、cmstp UAC 绕过等。
适用场景：certutil 下载 cradle、mshta HTA 执行、regsvr32 Squiblydoo、rundll32 DLL 代理、MSBuild 内联任务、BITS 传输、WMIC XSL 执行等。
限制：依赖日志完整性与命令行审计；需先建立环境基线以减少误报；具体平台版本、收费与效果暂未提供。