« 通过 Microsoft Office 加载项实现持久化 通过 PowerShell 配置文件实现持久化 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

通过 Microsoft Outlook VBA 实现持久化

编辑

通过 Microsoft Outlook VBA 实现持久化

编辑

检测尝试通过安装恶意 Microsoft Outlook VBA 模板来在端点上建立持久性的行为。

规则类型: eql

规则索引:

  • logs-endpoint.events.file-*
  • winlogbeat-*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*

严重性: 中等

风险评分: 47

每: 5 分钟运行一次

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考资料:

标签:

  • 领域：端点
  • 操作系统：Windows
  • 用例：威胁检测
  • 策略：持久化
  • 数据源：Elastic Endgame
  • 数据源：Elastic Defend
  • 数据源：Sysmon
  • 数据源：Microsoft Defender for Endpoint
  • 数据源：SentinelOne

版本: 307

规则作者:

  • Elastic

规则许可证: Elastic License v2

规则查询

编辑
file where host.os.type == "windows" and event.type != "deletion" and
 file.path : "C:\\Users\\*\\AppData\\Roaming\\Microsoft\\Outlook\\VbaProject.OTM"

框架: MITRE ATT&CKTM

« 通过 Microsoft Office 加载项实现持久化 通过 PowerShell 配置文件实现持久化 »