可疑的 WerFault 子进程

编辑

可疑的 WerFault 子进程

编辑

检测到可疑的 WerFault 子进程，这可能表明尝试通过 SilentProcessExit 注册表项操作运行。验证进程详细信息，例如命令行、网络连接和文件写入。

规则类型: eql

规则索引:

winlogbeat-*
logs-endpoint.events.process-*
logs-windows.sysmon_operational-*
endgame-*
logs-sentinel_one_cloud_funnel.*
logs-m365_defender.event-*

严重程度: 中

风险评分: 47

运行频率: 5分钟

搜索索引范围: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

域: 端点
操作系统: Windows
用例: 威胁检测
战术: 防御规避
战术: 持久化
战术: 权限提升
数据源: Elastic Endgame
数据源: Elastic Defend
数据源: Microsoft Defender for Endpoint
数据源: Sysmon
数据源: SentinelOne

版本: 415

规则作者:

Elastic

规则许可证: Elastic License v2

规则查询

编辑

process where host.os.type == "windows" and event.type == "start" and

  process.parent.name : "WerFault.exe" and

  /* args -s and -t used to execute a process via SilentProcessExit mechanism */
  (process.parent.args : "-s" and process.parent.args : "-t" and process.parent.args : "-c") and

  not process.executable : ("?:\\Windows\\SysWOW64\\Initcrypt.exe", "?:\\Program Files (x86)\\Heimdal\\Heimdal.Guard.exe")

框架: MITRE ATT&CK^TM

战术
- 名称: 防御规避
- ID: TA0005
- 参考 URL: https://attack.mitre.org/tactics/TA0005/
技术
- 名称: 伪装
- ID: T1036
- 参考 URL: https://attack.mitre.org/techniques/T1036/
战术
- 名称: 持久化
- ID: TA0003
- 参考 URL: https://attack.mitre.org/tactics/TA0003/
技术
- 名称: 事件触发执行
- ID: T1546
- 参考 URL: https://attack.mitre.org/techniques/T1546/
子技术
- 名称: 映像文件执行选项注入
- ID: T1546.012
- 参考 URL: https://attack.mitre.org/techniques/T1546/012/
战术
- 名称: 权限提升
- ID: TA0004
- 参考 URL: https://attack.mitre.org/tactics/TA0004/
技术
- 名称: 事件触发执行
- ID: T1546
- 参考 URL: https://attack.mitre.org/techniques/T1546/
子技术
- 名称: 映像文件执行选项注入
- ID: T1546.012
- 参考 URL: https://attack.mitre.org/techniques/T1546/012/

« 可疑的 Web 浏览器敏感文件访问可疑的 Windows 命令 Shell 参数 »