« 通过 Microsoft 反恶意软件服务可执行文件进行潜在的 DLL 侧加载 通过 NsLookup 进行潜在的 DNS 隧道 »
Elastic 文档 ›Elastic 安全解决方案 [8.16] ›检测和告警 ›预构建规则参考

通过受信任的 Microsoft 程序进行潜在的 DLL 侧加载

编辑

通过受信任的 Microsoft 程序进行潜在的 DLL 侧加载

编辑

识别已知易受 DLL 搜索顺序劫持攻击的 Windows 受信任程序的实例，这些程序在重命名后或从非标准路径启动后会变得脆弱。这是一种不常见的行为，可能表示试图通过在其进程内存空间内侧加载恶意 DLL 来规避防御措施。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-m365_defender.event-*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

  • 领域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 战术: 防御规避
  • 战术: 执行
  • 数据源: Elastic Endgame
  • 数据源: Elastic Defend
  • 数据源: Sysmon
  • 数据源: Microsoft Defender for Endpoint

版本: 211

规则作者:

  • Elastic

规则许可证: Elastic License v2

设置

编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则（版本 <8.2），则事件将不会定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参考 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑
process where host.os.type == "windows" and event.type == "start" and
  process.pe.original_file_name in ("WinWord.exe", "EXPLORER.EXE", "w3wp.exe", "DISM.EXE") and
  not (process.name : ("winword.exe", "explorer.exe", "w3wp.exe", "Dism.exe") or
         process.executable : ("?:\\Windows\\explorer.exe",
                               "?:\\Program Files\\Microsoft Office\\root\\Office*\\WINWORD.EXE",
                               "?:\\Program Files?(x86)\\Microsoft Office\\root\\Office*\\WINWORD.EXE",
                               "?:\\Windows\\System32\\Dism.exe",
                               "?:\\Windows\\SysWOW64\\Dism.exe",
                               "?:\\Windows\\System32\\inetsrv\\w3wp.exe")
         )

框架: MITRE ATT&CKTM

« 通过 Microsoft 反恶意软件服务可执行文件进行潜在的 DLL 侧加载 通过 NsLookup 进行潜在的 DNS 隧道 »