New

The executive guide to generative AI

Read more
About usPartnersSupport|Login
« 捕获信号执行 通过特权 IFileOperation COM 接口尝试绕过 UAC »
Elastic 文档 ›Elastic Security 解决方案 [8.17] ›检测和警报 ›预构建规则参考

通过提升权限的 COM Internet Explorer 插件安装程序尝试绕过 UAC

编辑

通过提升权限的 COM Internet Explorer 插件安装程序尝试绕过 UAC

编辑

识别通过滥用提升权限的 COM 接口来启动恶意程序的用户帐户控制 (UAC) 绕过尝试。攻击者可能会尝试绕过 UAC 以隐秘地执行具有提升权限的代码。

规则类型: eql

规则索引:

  • winlogbeat-*
  • logs-endpoint.events.process-*
  • logs-windows.sysmon_operational-*
  • endgame-*
  • logs-m365_defender.event-*
  • logs-sentinel_one_cloud_funnel.*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: now-9m（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考:

标签:

  • 域: 端点
  • 操作系统: Windows
  • 用例: 威胁检测
  • 策略: 权限提升
  • 策略: 防御规避
  • 策略: 执行
  • 数据源: Elastic Endgame
  • 数据源: Elastic Defend
  • 数据源: Sysmon
  • 数据源: Microsoft Defender for Endpoint
  • 数据源: SentinelOne

版本: 309

规则作者:

  • Elastic

规则许可: Elastic License v2

规则查询

编辑
process where host.os.type == "windows" and event.type == "start" and
 process.executable : "C:\\*\\AppData\\*\\Temp\\IDC*.tmp\\*.exe" and
 process.parent.name : "ieinstal.exe" and process.parent.args : "-Embedding"

 /* uncomment once in winlogbeat */
 /* and not (process.code_signature.subject_name == "Microsoft Corporation" and process.code_signature.trusted == true) */

框架: MITRE ATT&CKTM

« 捕获信号执行 通过特权 IFileOperation COM 接口尝试绕过 UAC »

On this page

Was this helpful?
Feedback