« 通过 GDB CAP_SYS_PTRACE 进行 Root 网络连接 Route53 解析器查询日志配置已删除 »
Elastic 文档 ›Elastic Security Solution [8.14] ›检测和警报 ›预置规则参考

从互联网下载的 Roshal 存档 (RAR) 或 PowerShell 文件

编辑

从互联网下载的 Roshal 存档 (RAR) 或 PowerShell 文件编辑

检测内部主机从互联网下载的 Roshal 存档 (RAR) 文件或 PowerShell 脚本。获得对系统的初始访问权限，然后下载编码或加密工具以横向移动是攻击者保护其更有价值的工具和策略、技术和程序 (TTP) 的常用做法。这可能是受管网络的非典型行为，并且可能表明存在恶意软件、外泄或命令和控制。

规则类型：查询

规则索引:

  • packetbeat-*
  • auditbeat-*
  • filebeat-*
  • logs-network_traffic.*

严重性：中等

风险评分: 47

每隔：5 分钟运行一次

从以下时间开始搜索索引：now-9m（日期数学格式，另请参见 附加回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 用例：威胁检测
  • 策略：命令和控制
  • 域：端点

版本: 103

规则作者:

  • Elastic

规则许可证：Elastic License v2

调查指南编辑

威胁情报

此活动已在 FIN7 活动中观察到。

规则查询编辑

(event.dataset: (network_traffic.http or network_traffic.tls) or
  (event.category: (network or network_traffic) and network.protocol: http)) and
  (url.extension:(ps1 or rar) or url.path:(*.ps1 or *.rar)) and
    not destination.ip:(
      10.0.0.0/8 or
      127.0.0.0/8 or
      169.254.0.0/16 or
      172.16.0.0/12 or
      192.0.0.0/24 or
      192.0.0.0/29 or
      192.0.0.8/32 or
      192.0.0.9/32 or
      192.0.0.10/32 or
      192.0.0.170/32 or
      192.0.0.171/32 or
      192.0.2.0/24 or
      192.31.196.0/24 or
      192.52.193.0/24 or
      192.168.0.0/16 or
      192.88.99.0/24 or
      224.0.0.0/4 or
      100.64.0.0/10 or
      192.175.48.0/24 or
      198.18.0.0/15 or
      198.51.100.0/24 or
      203.0.113.0/24 or
      240.0.0.0/4 or
      "::1" or
      "FE80::/10" or
      "FF00::/8"
    ) and
    source.ip:(
      10.0.0.0/8 or
      172.16.0.0/12 or
      192.168.0.0/16
    )

框架：MITRE ATT&CKTM

« 通过 GDB CAP_SYS_PTRACE 进行 Root 网络连接 Route53 解析器查询日志配置已删除 »