SolarWinds 进程通过注册表禁用服务

编辑

识别 SolarWinds 二进制文件正在修改服务的启动类型以禁用该服务。攻击者可能会滥用此技术来操纵相关的安全服务。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.registry-*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式, 另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考:

标签:

  • 域:端点
  • 操作系统:Windows
  • 用例:威胁检测
  • 策略:防御规避
  • 策略:初始访问
  • 数据源:Elastic Endgame
  • 数据源:Elastic Defend
  • 数据源:Sysmon
  • 数据源:Microsoft Defender for Endpoint
  • 数据源:SentinelOne

版本: 311

规则作者:

  • Elastic

规则许可证: Elastic License v2

规则查询

编辑
registry where host.os.type == "windows" and event.type == "change" and registry.value : "Start" and
  process.name : (
      "SolarWinds.BusinessLayerHost*.exe",
      "ConfigurationWizard*.exe",
      "NetflowDatabaseMaintenance*.exe",
      "NetFlowService*.exe",
      "SolarWinds.Administration*.exe",
      "SolarWinds.Collector.Service*.exe",
      "SolarwindsDiagnostics*.exe"
  ) and
  registry.path : (
    "HKLM\\SYSTEM\\*ControlSet*\\Services\\*\\Start",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Services\\*\\Start",
    "MACHINE\\SYSTEM\\*ControlSet*\\Services\\*\\Start"
  ) and
  registry.data.strings : ("4", "0x00000004")

框架: MITRE ATT&CKTM