来自 INET 缓存的可疑执行

编辑

来自 INET 缓存的可疑执行

编辑

识别参数指向 INetCache 文件夹的进程执行。攻击者可能会在初始访问期间通过 WININET 传递恶意内容。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考资料:

https://www.trendmicro.com/en_us/research/24/b/cve202421412-water-hydra-targets-traders-with-windows-defender-s.html

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：初始访问
战术：命令和控制
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：SentinelOne
数据源：Crowdstrike

版本: 204

规则作者:

Elastic

规则许可：Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  process.parent.name : ("explorer.exe", "winrar.exe", "7zFM.exe", "Bandizip.exe") and
  (
    process.args : "?:\\Users\\*\\AppData\\Local\\Microsoft\\Windows\\INetCache\\IE\\*" or
    process.executable : (
      "?:\\Users\\*\\AppData\\Local\\Microsoft\\Windows\\INetCache\\IE\\*",
      "\\Device\\HarddiskVolume?\\Users\\*\\AppData\\Local\\Microsoft\\Windows\\INetCache\\IE\\*"
    )
  )

框架: MITRE ATT&CK^TM

战术
- 名称：初始访问
- ID：TA0001
- 参考 URL：https://attack.mitre.org/tactics/TA0001/
技术
- 名称：网络钓鱼
- ID：T1566
- 参考 URL：https://attack.mitre.org/techniques/T1566/
子技术
- 名称：鱼叉式网络钓鱼附件
- ID：T1566.001
- 参考 URL：https://attack.mitre.org/techniques/T1566/001/
战术
- 名称：命令和控制
- ID：TA0011
- 参考 URL：https://attack.mitre.org/tactics/TA0011/
技术
- 名称：入口工具传输
- ID：T1105
- 参考 URL：https://attack.mitre.org/techniques/T1105/