› › ›

具有多个扩展名的可执行文件创建

编辑

具有多个扩展名的可执行文件创建

编辑

伪装可以使攻击者逃避防御并更好地融入环境。其中一种方式是操纵文件名称或位置，以此欺骗用户执行他们认为是良性文件类型但实际上是可执行代码的文件。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.file-*
logs-windows.sysmon_operational-*
endgame-*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*

严重性: 中等

风险评分: 47

每隔: 5m 运行

搜索索引时间范围: now-9m (日期数学格式，另请参见 其他回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域：端点
操作系统：Windows
用例：威胁检测
战术：防御规避
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：Sysmon
数据源：Microsoft Defender for Endpoint
数据源：SentinelOne

版本: 309

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

file where host.os.type == "windows" and event.type == "creation" and file.extension : "exe" and
  file.name regex~ """.*\.(vbs|vbe|bat|js|cmd|wsh|ps1|pdf|docx?|xlsx?|pptx?|txt|rtf|gif|jpg|png|bmp|hta|txt|img|iso)\.exe""" and
  not (process.executable : ("?:\\Windows\\System32\\msiexec.exe", "C:\\Users\\*\\QGIS_SCCM\\Files\\QGIS-OSGeo4W-*-Setup-x86_64.exe") and
       file.path : "?:\\Program Files\\QGIS *\\apps\\grass\\*.exe")

框架: MITRE ATT&CK^TM

战术
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：伪装
- ID：T1036
- 参考网址：https://attack.mitre.org/techniques/T1036/
子技术
- 名称：双文件扩展名
- ID：T1036.007
- 参考网址：https://attack.mitre.org/techniques/T1036/007/
战术
- 名称：执行
- ID：TA0002
- 参考网址：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：用户执行
- ID：T1204
- 参考网址：https://attack.mitre.org/techniques/T1204/
子技术
- 名称：恶意文件
- ID：T1204.002
- 参考网址：https://attack.mitre.org/techniques/T1204/002/

« 用于潜在持久性脚本的可执行位设置具有不寻常扩展名的可执行文件 »