Продолжим тему с Python 🐍

При использовании pyinstaller в режиме onefile , загрузчик создает директорию со следующем именем temppath/_MEIxxxxxx 🧐 можно поменять в исходниках))

swprintf(prefix, 16, L"_MEI%d", _getpid());

🔤 обнаруживаем создание файлов в директории _MEIxxxxxx 🔭

ProviderName="Microsoft-Windows-Sysmon" and  EventId = 11 and TargetFilename = "^[a-zA-Z]:\\.*_MEI\d+\\.*\.py.?$"

Я намеренно не стал хардкодить Temp, т.к. при сборке файла можно указать директорию для Runtime аргументом - runtime-tmpdir (на скрине пример)

#detection@detectioneasy