› › ›

通过 AppCert DLL 实现注册表持久性

编辑

通过 AppCert DLL 实现注册表持久性编辑

检测通过使用 AppCert DLL 创建注册表项来维持持久性的尝试。AppCert DLL 由使用通用 API 函数创建进程的每个进程加载。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.registry-*
logs-windows.sysmon_operational-*
endgame-*
logs-sentinel_one_cloud_funnel.*
logs-m365_defender.event-*

严重性: 中等

风险评分: 47

每隔: 5 分钟运行一次

从以下时间开始搜索索引: now-9m（日期数学格式，另请参阅 附加回溯时间）

每次执行的最大警报数: 100

参考: 无

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：持久性
策略：特权提升
数据源：Elastic Endgame
数据源：Elastic Defend
数据源：Sysmon
数据源：SentinelOne
数据源：Microsoft Defender for Endpoint

版本: 311

规则作者:

Elastic

规则许可: Elastic License v2

设置编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则，对于 <8.2 版本，事件将不会定义 event.ingested，并且在版本 8.2 之前未添加 EQL 规则的默认后备。因此，为了使此规则有效工作，用户需要添加一个自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

registry where host.os.type == "windows" and
/* uncomment once stable length(bytes_written_string) > 0 and */
  registry.path : (
    "HKLM\\SYSTEM\\*ControlSet*\\Control\\Session Manager\\AppCertDLLs\\*",
    "\\REGISTRY\\MACHINE\\SYSTEM\\*ControlSet*\\Control\\Session Manager\\AppCertDLLs\\*",
    "MACHINE\\SYSTEM\\*ControlSet*\\Control\\Session Manager\\AppCertDLLs\\*"
  )

框架: MITRE ATT&CK^TM

策略
- 名称：持久性
- ID：TA0003
- 参考网址：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：事件触发执行
- ID：T1546
- 参考网址：https://attack.mitre.org/techniques/T1546/
子技术
- 名称：AppCert DLL
- ID：T1546.009
- 参考网址：https://attack.mitre.org/techniques/T1546/009/
策略
- 名称：权限提升
- ID：TA0004
- 参考网址：https://attack.mitre.org/tactics/TA0004/
技术
- 名称：事件触发执行
- ID：T1546
- 参考网址：https://attack.mitre.org/techniques/T1546/
子技术
- 名称：AppCert DLL
- ID：T1546.009
- 参考网址：https://attack.mitre.org/techniques/T1546/009/

« 罕见用户登录通过 AppInit DLL 实现注册表持久性 »