通过计划任务的可疑执行

编辑

通过计划任务的可疑执行

编辑

通过查看进程沿袭和命令行使用情况，识别通过计划任务执行的可疑程序。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参见 额外回溯时间)

每次执行的最大警报数: 100

参考:

https://elastic.ac.cn/security-labs/elastic-protects-against-data-wiper-malware-targeting-ukraine-hermeticwiper

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 持久性
战术: 执行
数据源: Elastic Defend

版本: 209

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

如果在版本 < 8.2 的非 elastic-agent 索引（例如 beats）上启用 EQL 规则，则事件不会定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义采集管道以将 event.ingested 填充为 @timestamp。有关添加自定义采集管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
    /* Schedule service cmdline on Win10+ */
    process.parent.name : "svchost.exe" and process.parent.args : "Schedule" and
    /* add suspicious programs here */
    process.pe.original_file_name in
                                (
                                  "cscript.exe",
                                  "wscript.exe",
                                  "PowerShell.EXE",
                                  "Cmd.Exe",
                                  "MSHTA.EXE",
                                  "RUNDLL32.EXE",
                                  "REGSVR32.EXE",
                                  "MSBuild.exe",
                                  "InstallUtil.exe",
                                  "RegAsm.exe",
                                  "RegSvcs.exe",
                                  "msxsl.exe",
                                  "CONTROL.EXE",
                                  "EXPLORER.EXE",
                                  "Microsoft.Workflow.Compiler.exe",
                                  "msiexec.exe"
                                  ) and
    /* add suspicious paths here */
    process.args : (
       "C:\\Users\\*",
       "C:\\ProgramData\\*",
       "C:\\Windows\\Temp\\*",
       "C:\\Windows\\Tasks\\*",
       "C:\\PerfLogs\\*",
       "C:\\Intel\\*",
       "C:\\Windows\\Debug\\*",
       "C:\\HP\\*") and

     not (process.name : "cmd.exe" and process.args : "?:\\*.bat" and process.working_directory : "?:\\Windows\\System32\\") and
     not (process.name : "cscript.exe" and process.args : "?:\\Windows\\system32\\calluxxprovider.vbs") and
     not (process.name : "powershell.exe" and process.args : ("-File", "-PSConsoleFile") and user.id : "S-1-5-18") and
     not (process.name : "msiexec.exe" and user.id : "S-1-5-18")

框架: MITRE ATT&CK^TM

战术
- 名称: 持久性
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/
战术
- 名称: 执行
- ID: TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/

« 通过 Microsoft Office 加载项的可疑执行通过适用于 Linux 的 Windows 子系统的可疑执行 »