I binari living-off-the-land (LOLBins) sono strumenti legittimi del sistema operativo o di amministrazione che possono essere usati per eseguire operazioni che gli aggressori potrebbero altrimenti svolgere con malware personalizzato. In Windows, alcuni esempi sono PowerShell, WMI e rundll32. La loro presenza non è di per sé sospetta: gli amministratori usano questi strumenti per le normali attività di gestione e risoluzione dei problemi.
Gli aggressori possono sfruttare i LOLBins per eseguire comandi, modificare impostazioni o spostarsi all'interno di una rete, confondendosi con le normali attività. Questo può rendere più difficile il rilevamento, soprattutto negli ambienti in cui questi strumenti sono ampiamente utilizzati. I difensori dovrebbero valutare il contesto e il comportamento, ad esempio argomenti insoliti della riga di comando, processi padre inattesi o attività provenienti da un account atipico, invece di bloccare ogni utilizzo. Monitorare e limitare le esecuzioni non necessarie può aiutare a individuare gli abusi prima che portino ad azioni come la distribuzione di ransomware.