› › ›

通过 Windows 安装程序实现持久化

编辑

通过 Windows 安装程序实现持久化

编辑

当 Windows 安装程序进程 msiexec.exe 通过计划任务或启动项创建新的持久化条目时，发出警报。

规则类型: eql

规则索引:

logs-endpoint.events.registry-*
logs-endpoint.events.file-*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外的回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

域: 端点
操作系统: Windows
使用场景: 威胁检测
战术: 持久化
战术: 防御规避
数据源: Elastic Defend

版本: 1

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

any where host.os.type == "windows" and
 (process.name : "msiexec.exe" or Effective_process.name : "msiexec.exe") and
 (
  (event.category == "file" and event.action == "creation" and
   file.path : ("?:\\Windows\\System32\\Tasks\\*",
                "?:\\programdata\\microsoft\\windows\\start menu\\programs\\startup\\*",
                "?:\\Users\\*\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\*")) or

  (event.category == "registry" and event.action == "modification" and
   registry.path : ("H*\\Software\\Microsoft\\Windows\\CurrentVersion\\Run\\*",
                    "H*\\Software\\WOW6432Node\\Microsoft\\Windows\\CurrentVersion\\Run\\*",
                    "H*\\Software\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run\\*",
                    "H*\\Software\\WOW6432Node\\Microsoft\\Windows\\CurrentVersion\\Policies\\Explorer\\Run\\*"))
  )

框架: MITRE ATT&CK^TM

战术
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 计划任务/作业
- ID: T1053
- 参考 URL: https://attack.mitre.org/techniques/T1053/
子技术
- 名称: 计划任务
- ID: T1053.005
- 参考 URL: https://attack.mitre.org/techniques/T1053/005/
战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 系统二进制代理执行
- ID: T1218
- 参考 URL: https://attack.mitre.org/techniques/T1218/
子技术
- 名称: Msiexec
- ID: T1218.007
- 参考 URL: https://attack.mitre.org/techniques/T1218/007/

« 通过 WMI 标准注册表提供程序实现持久化启动目录中的持久化脚本 »