Detection is easy: “Давайте сделаем правила для дропа образов диска 🔭 Пример поля TargetF…”

Давайте сделаем правила для дропа образов диска 🔭

Пример поля TargetFileName из Sysmon EventId=11


<Data Name="TargetFilename">C:\Users\qwer\AppData\Local\Temp\5c155200-f11a-49ff-b2c0-7b81180c2322_1.zip.322\1.iso</Data>

Правило может выглядеть, так:


ProviderName="Microsoft-Windows-Sysmon" and EventId=11 and TargetFileName = "(iso|img|vhd.?)$"

Второй способ более интересный, мы можем отслеживать события монтирования образов диска в журнале Microsoft-Windows-VHDMP

Пример события:


- <Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event"> 
- <System> 
<Provider Name="Microsoft-Windows-VHDMP" Guid="{e2816346-87f4-4f85-95c3-0c79409aa89d}" /> 
<EventID>1</EventID> 
<Version>0</Version> 
<Level>4</Level> 
<Task>1205</Task> 
<Opcode>2</Opcode> 
<Keywords>0x8000000000000001</Keywords> 
<TimeCreated SystemTime="2025-02-21T17:34:19.0116396Z" /> 
<EventRecordID>199</EventRecordID> 
<Correlation /> 
<Execution ProcessID="4" ThreadID="11804" /> 
<Channel>Microsoft-Windows-VHDMP-Operational</Channel> 
<Computer>QQQ</Computer> 
<Security UserID="S-1-5-18" /> 
</System> 
- <EventData> 
<Data Name="VhdFileName">C:\Users\qwer\Downloads\1.iso</Data> 
<Data Name="VhdDiskNumber">0</Data> 
<Data Name="VirtualDisk">0x0</Data> 
</EventData> 
</Event>

Пример правила для отслеживания монтирования файлов из директорий пользователя или Temp


ProviderName="Microsoft-Windows-VHDMP" and EventId=1 and VhdFileName = "\\users\\|temp\\"

Вы собираете и анализируте события из журнала Microsoft-Windows-VHDMP?)

#detection@detectioneasy