rundll32 test

rundll32.exe javascript:\..\mshtml,RunHTMLApplication

Executa código com rundll32 no host de testes, validando a detecção do abuso do binário legítimo para executar JavaScript.

Execute-o no laboratório de purple team quando quiser validar a detecção da execução por rundll32: o comando usa o binário legítimo com o truque de mshtml para executar JavaScript e a equipe verifica o que foi detectado — Sysmon Event 1 (rundll32 com os argumentos), as regras do SIEM, o EDR. É a validação do living off the land na execução: o binário legítimo usado para rodar código arbitrário. No purple teaming, rundll32 valida a camada de comportamento da execução pelo binário de sistema.

Não o execute fora do laboratório: a execução do JavaScript gera a atividade real — o host de testes é o local. E atenção: rundll32 é legítimo (carrega DLLs de sistema) — a detecção se baseia nos argumentos anômalos (javascript:, mshtml) e no contexto; a validação mede essas camadas. Os usos legítimos de rundll32 (as DLLs de sistema) geram ruído: a regra validada é a dos argumentos de abuso. A limpeza ao terminar.