› › ›

通过 TelemetryController 计划任务劫持实现持久化

编辑

通过 TelemetryController 计划任务劫持实现持久化

编辑

检测成功劫持 Microsoft 兼容性评估程序计划任务，以系统完整性级别建立持久性。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重性: 高

风险评分: 73

运行频率: 5分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考:

https://www.trustedsec.com/blog/abusing-windows-telemetry-for-persistence

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
策略: 持久化
策略: 权限提升
数据源: Elastic Endgame
数据源: Elastic Defend
数据源: 系统
数据源: Microsoft Defender for Endpoint
数据源: Sysmon
数据源: SentinelOne
数据源: Crowdstrike

版本: 312

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  process.parent.name : "CompatTelRunner.exe" and process.args : "-cv*" and
  not process.name : ("conhost.exe",
                      "DeviceCensus.exe",
                      "CompatTelRunner.exe",
                      "DismHost.exe",
                      "rundll32.exe",
                      "powershell.exe")

框架: MITRE ATT&CK^TM

策略
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/
技术
- 名称: 劫持执行流程
- ID: T1574
- 参考 URL: https://attack.mitre.org/techniques/T1574/
策略
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/
技术
- 名称: 劫持执行流程
- ID: T1574
- 参考 URL: https://attack.mitre.org/techniques/T1574/

« 通过创建计划作业实现持久化通过更新编排器服务劫持实现持久化 »