› › ›

可疑的打印后台处理程序点和打印 DLL

编辑

可疑的打印后台处理程序点和打印 DLL

编辑

检测利用与打印后台处理程序服务相关的特权提升漏洞 (CVE-2020-1030) 的尝试。利用过程涉及链接多个原语，将任意 DLL 加载到以 SYSTEM 身份运行的打印后台处理程序进程中。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
endgame-*
logs-windows.sysmon_operational-*
winlogbeat-*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参见额外的回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 特权提升
数据源: Elastic Endgame
用例: 漏洞
数据源: Elastic Defend
数据源: Sysmon

版本: 208

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

sequence by host.id with maxspan=30s
[registry where host.os.type == "windows" and
 registry.path : (
    "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Print\\Printers\\*\\SpoolDirectory",
    "\\REGISTRY\\MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Print\\Printers\\*\\SpoolDirectory"
    ) and
 registry.data.strings : "C:\\Windows\\System32\\spool\\drivers\\x64\\4"]
[registry where host.os.type == "windows" and
 registry.path : (
    "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Print\\Printers\\*\\CopyFiles\\Payload\\Module",
    "\\REGISTRY\\MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Print\\Printers\\*\\CopyFiles\\Payload\\Module"
    ) and
 registry.data.strings : "C:\\Windows\\System32\\spool\\drivers\\x64\\4\\*"]

框架: MITRE ATT&CK^TM

战术
- 名称: 特权提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 利用漏洞进行特权提升
- ID: T1068
- 参考 URL: https://attack.mitre.org/techniques/T1068/

« 可疑的打印后台处理程序文件删除可疑的打印后台处理程序 SPL 文件创建 »