Продожим тему с массовым запуском скриптов или исполняемых файлов. В данном отчете использовался PDQDeploy, но на его месте мог быть планировщик задач, SCCM, KSC, EDR, Gitlab-runner etc
Для обнаружения подозрительных действий агентами централизованного управления, за основу можно взять Sigma-правило, которое обнаруживает запуск дочерних процессов, от агента PDQDeploy.
Для спокойствия нам нужно отслеживать:
🔤 создание новых задач у агентов
🔤 изменение старых задач
🔤 массовый запуск одинаковых скриптов или процессов на разных хостах
#detection@detectioneasy
Post #145
303
Detection is easy Вчера вышел отчет от любимых многими thedfirreport - Confluence Exploit Leads to LockBit Ransomware ✌️ Если такая атака и будет, то она должна завершиться 🚫 на выполнении команд: whoami query user net user mshta ...\.hta curl ... Это несколько команд, которые…
- 👍 5
- 🔥 4
- 🤔 2
- 🍌 1