› › ›

通过 Grep 进行虚拟机指纹识别

编辑

通过 Grep 进行虚拟机指纹识别编辑

攻击者可能会尝试获取有关操作系统和硬件的详细信息。此规则识别非 root 用户用于发现虚拟机硬件的常见位置。此技术已被 Pupy RAT 和其他恶意软件使用。

规则类型: eql

规则索引:

auditbeat-*
logs-endpoint.events.*

严重性: 中等

风险评分: 47

每隔运行: 5 分钟

从以下时间开始搜索索引: now-9m（日期数学格式，另请参见 附加回溯时间）

每次执行的最大警报数: 100

参考:

https://objective-see.com/blog/blog_0x4F.html

标签:

域：端点
操作系统：macOS
操作系统：Linux
用例：威胁检测
策略：发现
数据源：Elastic Defend

版本: 105

规则作者:

Elastic

规则许可证: Elastic 许可证 v2

设置编辑

设置

如果在版本 <8.2 的非弹性代理索引（例如 beats）上启用 EQL 规则，事件将不会定义 event.ingested，并且在版本 8.2 之前未添加 EQL 规则的默认后备。因此，为了让此规则有效工作，用户需要添加自定义采集管道以将 event.ingested 填充到 @timestamp。有关添加自定义采集管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询编辑

process where event.type == "start" and
 process.name in ("grep", "egrep") and user.id != "0" and
 process.args : ("parallels*", "vmware*", "virtualbox*") and process.args : "Manufacturer*" and
 not process.parent.executable in ("/Applications/Docker.app/Contents/MacOS/Docker", "/usr/libexec/kcare/virt-what")

框架: MITRE ATT&CK^TM

策略
- 名称：发现
- ID：TA0007
- 参考 URL：https://attack.mitre.org/tactics/TA0007/
技术
- 名称：系统信息发现
- ID：T1082
- 参考 URL：https://attack.mitre.org/techniques/T1082/

« 虚拟机指纹识别虚拟专用网络连接尝试 »