› › ›

dns.exe 异常文件修改

编辑

dns.exe 异常文件修改

编辑

识别由 dns.exe（负责 Windows DNS 服务器服务的进程）修改的意外文件，这可能表明与远程代码执行或其他形式的利用相关的活动。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.file-*
logs-windows.sysmon_operational-*
endgame-*

严重性: 高

风险评分: 73

每隔: 5 分钟

搜索索引自: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：横向移动
数据源：Elastic Endgame
用例：漏洞
数据源：Elastic Defend
数据源：Sysmon

版本: 211

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查异常文件写入

此规则的检测警报表明在 CVE-2020-1350 (SigRed) 利用后，DNS 服务器服务进程 (dns.exe) 可能会发生潜在的异常/非正常文件写入。以下是一些可能的调查途径：- 利用后，攻击者可能会写入其他文件或有效负载到系统作为额外的发现/利用/持久性机制。- 应仔细审查和调查来自 dns.exe 的任何可疑或异常文件。

规则查询

编辑

file where host.os.type == "windows" and process.name : "dns.exe" and event.type in ("creation", "deletion", "change") and
  not file.name : "dns.log" and not
  (file.extension : ("old", "temp", "bak", "dns", "arpa") and file.path : "C:\\Windows\\System32\\dns\\*") and

  /* DNS logs with custom names, header converts to "DNS Server log" */
  not ?file.Ext.header_bytes : "444e5320536572766572206c6f67*"

框架: MITRE ATT&CK^TM

战术
- 名称：横向移动
- ID：TA0008
- 参考网址：https://attack.mitre.org/tactics/TA0008/
技术
- 名称：远程服务利用
- ID：T1210
- 参考网址：https://attack.mitre.org/techniques/T1210/