从互联网下载的 Roshal 存档 (RAR) 或 PowerShell 文件

检测内部主机从互联网下载的 Roshal 存档 (RAR) 文件或 PowerShell 脚本。攻击者通常会先获得对系统的初始访问权限，然后下载编码或加密的工具以进行横向移动，以此来保护他们更有价值的工具以及战术、技术和程序 (TTP)。这对于托管网络来说可能是不典型的行为，可能表明存在恶意软件、数据泄露或命令和控制活动。

规则类型：查询

规则索引:

packetbeat-*
auditbeat-*
filebeat-*
logs-network_traffic.*
logs-panw.panos*

严重性：中

风险评分: 47

运行频率：5 分钟

搜索索引的时间范围：now-9m（日期数学格式，另请参阅 额外的回溯时间）

每次执行的最大警报数: 100

参考资料:

标签:

使用案例：威胁检测
战术：命令和控制
域：端点
数据源：PAN-OS

版本: 104

规则作者:

Elastic

规则许可证：Elastic License v2

调查指南

编辑

威胁情报

此活动已在 FIN7 活动中被观察到。

规则查询

编辑

(event.dataset: (network_traffic.http or network_traffic.tls) or
  (event.category: (network or network_traffic) and network.protocol: http)) and
  (url.extension:(ps1 or rar) or url.path:(*.ps1 or *.rar)) and
    not destination.ip:(
      10.0.0.0/8 or
      127.0.0.0/8 or
      169.254.0.0/16 or
      172.16.0.0/12 or
      192.0.0.0/24 or
      192.0.0.0/29 or
      192.0.0.8/32 or
      192.0.0.9/32 or
      192.0.0.10/32 or
      192.0.0.170/32 or
      192.0.0.171/32 or
      192.0.2.0/24 or
      192.31.196.0/24 or
      192.52.193.0/24 or
      192.168.0.0/16 or
      192.88.99.0/24 or
      224.0.0.0/4 or
      100.64.0.0/10 or
      192.175.48.0/24 or
      198.18.0.0/15 or
      198.51.100.0/24 or
      203.0.113.0/24 or
      240.0.0.0/4 or
      "::1" or
      "FE80::/10" or
      "FF00::/8"
    ) and
    source.ip:(
      10.0.0.0/8 or
      172.16.0.0/12 or
      192.168.0.0/16
    )

框架：MITRE ATT&CK^TM

战术
- 名称：命令和控制
- ID：TA0011
- 参考 URL：https://attack.mitre.org/tactics/TA0011/
技术
- 名称：入口工具传输
- ID：T1105
- 参考 URL：https://attack.mitre.org/techniques/T1105/

« 通过 GDB CAP_SYS_PTRACE 进行的根网络连接 Route53 解析器查询日志配置已删除 »