› › ›

dns.exe 异常文件修改

编辑

dns.exe 异常文件修改

编辑

识别由 dns.exe（负责 Windows DNS 服务器服务的进程）修改的意外文件，这可能表明与远程代码执行或其他形式的利用相关的活动。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.file-*
logs-windows.sysmon_operational-*
endgame-*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
策略: 横向移动
数据源: Elastic Endgame
用例: 漏洞
数据源: Elastic Defend
数据源: Sysmon

版本: 211

规则作者:

Elastic

规则许可证: Elastic License v2

调查指南

编辑

分类和分析

调查异常文件写入

此规则的检测警报表明，在发生 CVE-2020-1350 (SigRed) 利用之后，DNS 服务器服务进程 (dns.exe) 可能会出现潜在的异常/不正常文件写入。以下是一些可能的调查途径：- 利用后，攻击者可能会将其他文件或有效载荷写入系统，作为额外的发现/利用/持久性机制。- 任何从 dns.exe 写入的可疑或异常文件都应谨慎审查和调查。

规则查询

编辑

file where host.os.type == "windows" and process.name : "dns.exe" and event.type in ("creation", "deletion", "change") and
  not file.name : "dns.log" and not
  (file.extension : ("old", "temp", "bak", "dns", "arpa") and file.path : "C:\\Windows\\System32\\dns\\*") and

  /* DNS logs with custom names, header converts to "DNS Server log" */
  not ?file.Ext.header_bytes : "444e5320536572766572206c6f67*"

框架: MITRE ATT&CK^TM

策略
- 名称: 横向移动
- ID: TA0008
- 参考 URL: https://attack.mitre.org/tactics/TA0008/
技术
- 名称: 远程服务利用
- ID: T1210
- 参考 URL: https://attack.mitre.org/techniques/T1210/