通过 Microsoft Office 加载项实现持久化

编辑

通过 Microsoft Office 加载项实现持久化编辑

检测通过滥用 Microsoft Office 加载项在端点上建立持久性的尝试。

规则类型：eql

规则索引:

logs-endpoint.events.file-*
winlogbeat-*
logs-windows.sysmon_operational-*
endgame-*

严重性：高

风险评分: 73

运行频率：5 分钟

搜索索引范围：now-9m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

https://labs.withsecure.com/publications/add-in-opportunities-for-office-persistence

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：持久化
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：Sysmon

版本: 108

规则作者:

Elastic

规则许可证：Elastic 许可证 v2

设置编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则，对于版本 <8.2，事件将不会定义 event.ingested，并且在版本 8.2 之前没有添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

file where host.os.type == "windows" and event.type != "deletion" and
 file.extension : ("wll","xll","ppa","ppam","xla","xlam") and
 file.path :
    (
    "C:\\Users\\*\\AppData\\Roaming\\Microsoft\\Word\\Startup\\*",
    "C:\\Users\\*\\AppData\\Roaming\\Microsoft\\AddIns\\*",
    "C:\\Users\\*\\AppData\\Roaming\\Microsoft\\Excel\\XLSTART\\*"
    )

框架：MITRE ATT&CK^TM

战术
- 名称：持久化
- ID：TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：Office 应用程序启动
- ID：T1137
- 参考 URL：https://attack.mitre.org/techniques/T1137/
子技术
- 名称：加载项
- ID：T1137.006
- 参考 URL：https://attack.mitre.org/techniques/T1137/006/

« 通过登录或注销钩子实现持久化通过 Microsoft Outlook VBA 实现持久化 »