› › ›

通过 sc.exe 修改服务路径

识别使用 sc.exe 修改服务路径设置的尝试。攻击者可能尝试修改现有服务以实现持久性或特权提升。

规则类型: eql

规则索引:

严重程度: 低

风险评分: 21

运行频率: 60 分钟

搜索索引时间范围: now-119m (日期数学格式，另请参见 额外的回溯时间)

每次执行的最大警报数: 100

参考: 无

标签:

版本: 106

规则作者:

规则许可证: Elastic License v2

process where event.type == "start" and process.name : "sc.exe" and
  process.args : "*config*" and process.args : "*binPath*"

框架: MITRE ATT&CK^TM

策略
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 修改注册表
- ID: T1112
- 参考 URL: https://attack.mitre.org/techniques/T1112/
策略
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 创建或修改系统进程
- ID: T1543
- 参考 URL: https://attack.mitre.org/techniques/T1543/
子技术
- 名称: Windows 服务
- ID: T1543.003
- 参考 URL: https://attack.mitre.org/techniques/T1543/003/
策略
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 创建或修改系统进程
- ID: T1543
- 参考 URL: https://attack.mitre.org/techniques/T1543/
子技术
- 名称: Windows 服务
- ID: T1543.003
- 参考 URL: https://attack.mitre.org/techniques/T1543/003/