恶意文档潜在进程注入

编辑

恶意文档潜在进程注入

编辑

识别经常被攻击的 Microsoft Office 应用程序（Word、PowerPoint、Excel）的子进程，这些子进程具有异常的进程参数和路径。这种行为通常在利用 Office 应用程序或包含恶意宏的文档时观察到。

规则类型: eql

规则索引:

logs-endpoint.events.process-*

严重性: 低

风险评分: 21

每隔: 60 分钟

搜索索引自: now-119m (日期数学格式，另请参阅 附加回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：防御规避
战术：特权提升
战术：初始访问
规则类型：BBR
数据源：Elastic Defend

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.action == "start" and
  process.parent.name : ("excel.exe", "powerpnt.exe", "winword.exe") and
  process.args_count == 1 and
  process.executable : (
    "?:\\Windows\\SysWOW64\\*.exe", "?:\\Windows\\system32\\*.exe"
  ) and
  not (process.executable : "?:\\Windows\\System32\\spool\\drivers\\x64\\*" and
       process.code_signature.trusted == true and not process.code_signature.subject_name : "Microsoft *") and
  not process.executable : (
    "?:\\Windows\\Sys*\\Taskmgr.exe",
    "?:\\Windows\\Sys*\\ctfmon.exe",
    "?:\\Windows\\System32\\notepad.exe")

框架: MITRE ATT&CK^TM

战术
- 名称：防御规避
- ID：TA0005
- 参考网址：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：进程注入
- ID：T1055
- 参考网址：https://attack.mitre.org/techniques/T1055/
战术
- 名称：特权提升
- ID：TA0004
- 参考网址：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：进程注入
- ID：T1055
- 参考网址：https://attack.mitre.org/techniques/T1055/
战术
- 名称：初始访问
- ID：TA0001
- 参考网址：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：网络钓鱼
- ID：T1566
- 参考网址：https://attack.mitre.org/techniques/T1566/
子技术
- 名称：鱼叉式网络钓鱼附件
- ID：T1566.001
- 参考网址：https://attack.mitre.org/techniques/T1566/001/

« 通过 SamAccountName 欺骗进行潜在特权提升通过 PowerShell 进行潜在进程注入 »