DLL Sideload для встроенной утилиты cleanmgr.exe

Можем обнаружить создание необходимой DLL:

ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and TargetFileName endswith  "\System32\System32\System32\dokannp1.dll"

Вообще забавно, кто-то перестраховался с тремя System32 😃

#ttp@detectioneasy
#detection@detectioneasy