› › ›

通过 Windows 安装程序实现持久化

编辑

通过 Windows 安装程序实现持久化

编辑

识别 Windows 安装程序进程 msiexec.exe 通过计划任务或启动项创建新的持久化条目。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
logs-endpoint.events.file-*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

领域：端点
操作系统：Windows
用例：威胁检测
战术：持久化
战术：防御规避
数据源：Elastic Defend

版本: 1

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

any where host.os.type == "windows" and
 (process.name : "msiexec.exe" or Effective_process.name : "msiexec.exe") and
 (
  (event.category == "file" and event.action == "creation" and
   file.path : ("?:\\Windows\\System32\\Tasks\\*",
                "?:\\programdata\\microsoft\\windows\\start menu\\programs\\startup\\*",
                "?:\\Users\\*\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\*")) or

  (event.category == "registry" and event.action == "modification" and
   registry.path : ("H*\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\*",
                    "H*\\Software\\WOW6432Node\\Microsoft\\Windows\\CurrentVersion\\Run\\*",
                    "H*\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run\\*",
                    "H*\\Software\\WOW6432Node\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run\\*"))
  )

框架: MITRE ATT&CK^TM

战术
- 名称：持久化
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：计划任务/作业
- ID：T1053
- 参考网址：https://attack.mitre.org/techniques/T1053/
子技术
- 名称：计划任务
- ID：T1053.005
- 参考网址：https://attack.mitre.org/techniques/T1053/005/
战术
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：系统二进制代理执行
- ID：T1218
- 参考网址：https://attack.mitre.org/techniques/T1218/
子技术
- 名称：Msiexec
- ID：T1218.007
- 参考网址：https://attack.mitre.org/techniques/T1218/007/

« 通过 WMI 标准注册表提供程序实现持久化启动目录中的持久脚本 »