系统进程启动 Microsoft Build Engine

编辑

系统进程启动 Microsoft Build Engine

编辑

Microsoft Build Engine (MSBuild) 的实例由 Explorer 或 WMI (Windows Management Instrumentation) 子系统启动。这种行为不寻常，有时会被恶意负载利用。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.forwarded*
logs-windows.sysmon_operational-*
endgame-*
logs-system.security*
logs-m365_defender.event-*
logs-sentinel_one_cloud_funnel.*
logs-crowdstrike.fdr*

严重程度: 中

风险评分: 47

运行频率: 5 分钟

搜索索引的时间范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：防御规避
战术：执行
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：系统
数据源：Microsoft Defender for Endpoint
数据源：Sysmon
数据源：SentinelOne
数据源：Crowdstrike

版本: 312

规则作者:

Elastic

规则许可: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and
  process.name : "MSBuild.exe" and
  process.parent.name : ("explorer.exe", "wmiprvse.exe")

框架: MITRE ATT&CK^TM

战术
- 名称：防御规避
- ID：TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称：受信任的开发人员实用程序代理执行
- ID：T1127
- 参考 URL: https://attack.mitre.org/techniques/T1127/
子技术
- 名称：MSBuild
- ID：T1127.001
- 参考 URL: https://attack.mitre.org/techniques/T1127/001/
战术
- 名称：执行
- ID：TA0002
- 参考 URL: https://attack.mitre.org/tactics/TA0002/

« 脚本进程启动 Microsoft Build Engine Office 应用程序启动 Microsoft Build Engine »