› › ›

具有异常扩展名的可执行文件

编辑

具有异常扩展名的可执行文件

编辑

识别创建或修改具有意外文件扩展名的可执行文件。攻击者可能会尝试通过使用图像、音频或文档文件类型使用的文件扩展名值来伪装文件，从而逃避检测。

规则类型: eql

规则索引:

logs-endpoint.events.file-*

严重性: 低

风险评分: 21

每隔: 60m

搜索索引自: now-119m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域: 端点
操作系统: Windows
用例: 威胁检测
策略: 防御规避
规则类型: BBR
数据源: Elastic Defend

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

file where host.os.type == "windows" and event.action != "deletion" and

 /* MZ header or its common base64 equivalent TVqQ */
 file.Ext.header_bytes : ("4d5a*", "54567151*") and

 (
   /* common image file extensions */
   file.extension : ("jpg", "jpeg", "emf", "tiff", "gif", "png", "bmp", "fpx", "eps", "svg", "inf") or

   /* common audio and video file extensions */
   file.extension : ("mp3", "wav", "avi", "mpeg", "flv", "wma", "wmv", "mov", "mp4", "3gp") or

   /* common document file extensions */
   file.extension : ("txt", "pdf", "doc", "docx", "rtf", "ppt", "pptx", "xls", "xlsx", "hwp", "html")
  ) and
  not process.pid == 4 and
  not process.executable : "?:\\Program Files (x86)\\Trend Micro\\Client Server Security Agent\\Ntrtscan.exe"

框架: MITRE ATT&CK^TM

策略
- 名称: 防御规避
- ID: TA0005
- 参考网址: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 伪装
- ID: T1036
- 参考网址: https://attack.mitre.org/techniques/T1036/
子技术
- 名称: 伪装文件类型
- ID: T1036.008
- 参考网址: https://attack.mitre.org/techniques/T1036/008/

« 具有多个扩展名的可执行文件创建可执行文件伪装成内核进程 »