恶意文档的潜在进程注入

编辑

恶意文档的潜在进程注入

编辑

识别常用目标 Microsoft Office 应用程序（Word、PowerPoint、Excel）具有不寻常的进程参数和路径的子进程。这种行为通常在利用 Office 应用程序或来自带有恶意宏的文档时观察到。

规则类型: eql

规则索引:

logs-endpoint.events.process-*

严重性: 低

风险评分: 21

运行频率: 60 分钟

搜索索引时间范围: now-119m (Date Math 格式，另请参阅 额外的回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 防御规避
战术: 权限提升
战术: 初始访问
规则类型: BBR
数据源: Elastic Defend

版本: 2

规则作者:

Elastic

规则许可: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.action == "start" and
  process.parent.name : ("excel.exe", "powerpnt.exe", "winword.exe") and
  process.args_count == 1 and
  process.executable : (
    "?:\\Windows\\SysWOW64\\*.exe", "?:\\Windows\\system32\\*.exe"
  ) and
  not (process.executable : "?:\\Windows\\System32\\spool\\drivers\\x64\\*" and
       process.code_signature.trusted == true and not process.code_signature.subject_name : "Microsoft *") and
  not process.executable : (
    "?:\\Windows\\Sys*\\Taskmgr.exe",
    "?:\\Windows\\Sys*\\ctfmon.exe",
    "?:\\Windows\\System32\\notepad.exe")

框架: MITRE ATT&CK^TM

战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 进程注入
- ID: T1055
- 参考 URL: https://attack.mitre.org/techniques/T1055/
战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 进程注入
- ID: T1055
- 参考 URL: https://attack.mitre.org/techniques/T1055/
战术
- 名称: 初始访问
- ID: TA0001
- 参考 URL: https://attack.mitre.org/tactics/TA0001/
技术
- 名称: 网络钓鱼
- ID: T1566
- 参考 URL: https://attack.mitre.org/techniques/T1566/
子技术
- 名称: 鱼叉式网络钓鱼附件
- ID: T1566.001
- 参考 URL: https://attack.mitre.org/techniques/T1566/001/

« 通过 SamAccountName 欺骗的潜在特权提升通过 PowerShell 的潜在进程注入 »