Netsh Helper DLL

编辑

识别 Netsh Helper DLL 的添加,netsh.exe 支持添加这些 DLL 以扩展其功能。攻击者可能会滥用此机制,以便在每次执行该实用程序时执行恶意有效负载,管理员或计划任务都可以执行此操作。

规则类型: eql

规则索引:

  • logs-endpoint.events.registry-*
  • endgame-*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*
  • logs-windows.sysmon_operational-*

严重性: 低

风险评分: 21

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式,另请参见 其他回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

  • 领域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 战术: 持久性
  • 数据源: Elastic Endgame
  • 数据源: Elastic Defend
  • 数据源: Microsoft Defender for Endpoint
  • 数据源: SentinelOne
  • 数据源: Sysmon

版本: 202

规则作者:

  • Elastic

规则许可证: Elastic License v2

规则查询

编辑
registry where host.os.type == "windows" and event.type == "change" and
  registry.path : (
    "HKLM\\Software\\Microsoft\\netsh\\*",
    "\\REGISTRY\\MACHINE\\Software\\Microsoft\\netsh\\*",
    "MACHINE\\Software\\Microsoft\\netsh\\*"
  )

框架: MITRE ATT&CKTM