› › ›

具有异常扩展名的可执行文件

编辑

具有异常扩展名的可执行文件编辑

识别具有意外文件扩展名的可执行文件的创建或修改。攻击者可能会尝试通过使用图像、音频或文档文件类型使用的文件扩展名值来伪装文件，从而逃避检测。

规则类型：eql

规则索引:

logs-endpoint.events.file-*

严重程度：低

风险评分: 21

运行频率：60 分钟

搜索索引的时间范围：now-119m（日期数学格式，另请参阅额外回溯时间）

每次执行的最大警报数: 100

参考：无

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：防御规避
规则类型：BBR
数据源：Elastic Defend

版本: 2

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

规则查询编辑

file where host.os.type == "windows" and event.action != "deletion" and

 /* MZ header or its common base64 equivalent TVqQ */
 file.Ext.header_bytes : ("4d5a*", "54567151*") and

 (
   /* common image file extensions */
   file.extension : ("jpg", "jpeg", "emf", "tiff", "gif", "png", "bmp", "fpx", "eps", "svg", "inf") or

   /* common audio and video file extensions */
   file.extension : ("mp3", "wav", "avi", "mpeg", "flv", "wma", "wmv", "mov", "mp4", "3gp") or

   /* common document file extensions */
   file.extension : ("txt", "pdf", "doc", "docx", "rtf", "ppt", "pptx", "xls", "xlsx", "hwp", "html")
  ) and
  not process.pid == 4 and
  not process.executable : "?:\\Program Files (x86)\\Trend Micro\\Client Server Security Agent\\Ntrtscan.exe"

框架：MITRE ATT&CK^TM

战术
- 名称：防御规避
- ID：TA0005
- 参考 URL：https://attack.mitre.org/tactics/TA0005/
技术
- 名称：伪装
- ID：T1036
- 参考 URL：https://attack.mitre.org/techniques/T1036/
子技术
- 名称：伪装文件类型
- ID：T1036.008
- 参考 URL：https://attack.mitre.org/techniques/T1036/008/

« 创建具有多个扩展名的可执行文件伪装成内核进程的可执行文件 »