› › ›

可疑 HTML 文件创建

编辑

可疑 HTML 文件创建编辑

识别浏览器进程执行以打开具有高熵值和大小的 HTML 文件的行为。攻击者可能会通过将恶意有效负载隐藏在看似良性的 HTML 文件中，将数据和文件从内容过滤器中偷渡出来。

规则类型: eql

规则索引:

logs-endpoint.events.process-*
logs-endpoint.events.file-*

严重程度: 中等

风险评分: 47

每隔: 5m 运行

从以下索引中搜索: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大告警数: 100

参考: 无

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 初始访问
数据源: Elastic Defend

版本: 107

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

设置编辑

设置

如果在非 elastic-agent 索引（例如 beats）上启用 EQL 规则，对于版本 <8.2，事件不会定义 event.ingested，并且 EQL 规则的默认回退是在版本 8.2 之后添加的。因此，为了使此规则有效工作，用户需要添加一个自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参考 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

sequence by user.id with maxspan=5m
 [file where host.os.type == "windows" and event.action in ("creation", "rename") and
  file.extension : ("htm", "html") and
   file.path : ("?:\\Users\\*\\Downloads\\*",
                "?:\\Users\\*\\Content.Outlook\\*",
                "?:\\Users\\*\\AppData\\Local\\Temp\\Temp?_*",
                "?:\\Users\\*\\AppData\\Local\\Temp\\7z*",
                "?:\\Users\\*\\AppData\\Local\\Temp\\Rar$*") and
   ((file.Ext.entropy >= 5 and file.size >= 150000) or file.size >= 1000000)]
 [process where host.os.type == "windows" and event.action == "start" and
  (
   (process.name in ("chrome.exe", "msedge.exe", "brave.exe", "whale.exe", "browser.exe", "dragon.exe", "vivaldi.exe", "opera.exe")
    and process.args == "--single-argument") or
   (process.name == "iexplore.exe" and process.args_count == 2) or
   (process.name in ("firefox.exe", "waterfox.exe") and process.args == "-url")
  )
  and process.args : ("?:\\Users\\*\\Downloads\\*.htm*",
                      "?:\\Users\\*\\Content.Outlook\\*.htm*",
                      "?:\\Users\\*\\AppData\\Local\\Temp\\Temp?_*.htm*",
                      "?:\\Users\\*\\AppData\\Local\\Temp\\7z*.htm*",
                      "?:\\Users\\*\\AppData\\Local\\Temp\\Rar$*.htm*")]

框架: MITRE ATT&CK^TM

战术
- 名称: 初始访问
- ID: TA0001
- 参考 URL: https://attack.mitre.org/tactics/TA0001/
技术
- 名称: 钓鱼
- ID: T1566
- 参考 URL: https://attack.mitre.org/techniques/T1566/
子技术
- 名称: 针对性钓鱼附件
- ID: T1566.001
- 参考 URL: https://attack.mitre.org/techniques/T1566/001/
子技术
- 名称: 针对性钓鱼链接
- ID: T1566.002
- 参考 URL: https://attack.mitre.org/techniques/T1566/002/
战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 混淆文件或信息
- ID: T1027
- 参考 URL: https://attack.mitre.org/techniques/T1027/
子技术
- 名称: HTML 走私
- ID: T1027.006
- 参考 URL: https://attack.mitre.org/techniques/T1027/006/

« 通过 SMB 重命名可疑文件 Launchd 的可疑隐藏子进程 »