恶意文档潜在的进程注入

编辑

恶意文档潜在的进程注入编辑

识别频繁被攻击的 Microsoft Office 应用程序（Word、PowerPoint、Excel）的子进程，这些子进程具有不寻常的进程参数和路径。这种行为通常在利用 Office 应用程序或包含恶意宏的文档时被观察到。

规则类型: eql

规则索引:

logs-endpoint.events.process-*

严重程度: 低

风险评分: 21

每隔多久运行一次: 60m

从何时开始搜索索引: now-119m (日期数学格式，另请参见 额外的回溯时间)

每次执行的最大告警数量: 100

参考: 无

标签:

领域: 端点
操作系统: Windows
用例: 威胁检测
战术: 防御逃避
战术: 权限提升
战术: 初始访问
规则类型: BBR
数据源: Elastic Defend

版本: 2

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询编辑

process where host.os.type == "windows" and event.action == "start" and
  process.parent.name : ("excel.exe", "powerpnt.exe", "winword.exe") and
  process.args_count == 1 and
  process.executable : (
    "?:\\Windows\\SysWOW64\\*.exe", "?:\\Windows\\system32\\*.exe"
  ) and
  not (process.executable : "?:\\Windows\\System32\\spool\\drivers\\x64\\*" and
       process.code_signature.trusted == true and not process.code_signature.subject_name : "Microsoft *") and
  not process.executable : (
    "?:\\Windows\\Sys*\\Taskmgr.exe",
    "?:\\Windows\\Sys*\\ctfmon.exe",
    "?:\\Windows\\System32\\notepad.exe")

框架: MITRE ATT&CK^TM

战术
- 名称: 防御逃避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 进程注入
- ID: T1055
- 参考 URL: https://attack.mitre.org/techniques/T1055/
战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 进程注入
- ID: T1055
- 参考 URL: https://attack.mitre.org/techniques/T1055/
战术
- 名称: 初始访问
- ID: TA0001
- 参考 URL: https://attack.mitre.org/tactics/TA0001/
技术
- 名称: 钓鱼
- ID: T1566
- 参考 URL: https://attack.mitre.org/techniques/T1566/
子技术
- 名称: 针对性钓鱼附件
- ID: T1566.001
- 参考 URL: https://attack.mitre.org/techniques/T1566/001/

« 通过 SamAccountName 欺骗进行潜在的权限提升通过 PowerShell 进行潜在的进程注入 »