通过 BITS 作业通知命令行实现持久化

编辑

通过 BITS 作业通知命令行实现持久化

编辑

攻击者可以使用后台智能传输服务 (BITS) 的 SetNotifyCmdLine 方法，在作业完成数据传输或进入指定状态后执行程序，从而在系统上实现持久化。

规则类型: eql

规则索引:

logs-endpoint.events.process-*
winlogbeat-*
logs-windows.sysmon_operational-*
endgame-*
logs-sentinel_one_cloud_funnel.*
logs-m365_defender.event-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 持久化
数据源: Elastic Endgame
数据源: Elastic Defend
数据源: Sysmon
数据源: SentinelOne
数据源: Microsoft Defender for Endpoint

版本: 410

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  process.parent.name : "svchost.exe" and process.parent.args : "BITS" and
  not process.executable :
              ("?:\\Windows\\System32\\WerFaultSecure.exe",
               "?:\\Windows\\System32\\WerFault.exe",
               "?:\\Windows\\System32\\wermgr.exe",
               "?:\\WINDOWS\\system32\\directxdatabaseupdater.exe")

框架: MITRE ATT&CK^TM

战术
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: BITS 作业
- ID: T1197
- 参考 URL: https://attack.mitre.org/techniques/T1197/

« 权限窃取 - 已阻止 - Elastic Endgame 通过 DirectoryService 插件修改实现持久化 »