通过提升的 COM Internet Explorer 插件安装程序尝试绕过 UAC

编辑

通过提升的 COM Internet Explorer 插件安装程序尝试绕过 UAC

编辑

识别通过滥用提升的 COM 接口来启动恶意程序的 User Account Control (UAC) 绕过尝试。攻击者可能会尝试绕过 UAC 以隐秘地执行具有提升权限的代码。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.sysmon_operational-*
endgame-*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*

严重性: 中等

风险评分: 47

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另见 额外回溯时间)

每次执行的最大告警数: 100

参考:

https://swapcontext.blogspot.com/2020/11/uac-bypasses-from-comautoapprovallist.html

标签:

领域：端点
操作系统：Windows
用例：威胁检测
策略：权限提升
策略：防御规避
策略：执行
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：Sysmon
数据源：Microsoft Defender for Endpoint
数据源：SentinelOne

版本: 309

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
 process.executable : "C:\\*\\AppData\\*\\Temp\\IDC*.tmp\\*.exe" and
 process.parent.name : "ieinstal.exe" and process.parent.args : "-Embedding"

 /* uncomment once in winlogbeat */
 /* and not (process.code_signature.subject_name == "Microsoft Corporation" and process.code_signature.trusted == true) */

框架: MITRE ATT&CK^TM

策略
- 名称：权限提升
- ID：TA0004
- 参考链接：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：滥用权限提升控制机制
- ID：T1548
- 参考链接：https://attack.mitre.org/techniques/T1548/
子技术
- 名称：绕过用户帐户控制
- ID：T1548.002
- 参考链接：https://attack.mitre.org/techniques/T1548/002/
策略
- 名称：防御规避
- ID：TA0005
- 参考链接：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：滥用权限提升控制机制
- ID：T1548
- 参考链接：https://attack.mitre.org/techniques/T1548/
子技术
- 名称：绕过用户帐户控制
- ID：T1548.002
- 参考链接：https://attack.mitre.org/techniques/T1548/002/
策略
- 名称：执行
- ID：TA0002
- 参考链接：https://attack.mitre.org/tactics/TA0002/
技术
- 名称：进程间通信
- ID：T1559
- 参考链接：https://attack.mitre.org/techniques/T1559/
子技术
- 名称：组件对象模型
- ID：T1559.001
- 参考链接：https://attack.mitre.org/techniques/T1559/001/

« 陷阱信号执行通过特权 IFileOperation COM 接口尝试绕过 UAC »