Отличный разбор, спасибо! Особенно полезно видеть, как разные LOLBins реально используются в атаках, а не просто в теории. Цепочки с forfiles и mshta — классика, и правда, детектить их по parent-child сложно, надо именно смотреть в комбо ParentImage + Image, чтобы понять неладное. В целом, без нормального логирования и поведенческих правил такие атаки будут долго проскальзывать в любой организации.