🔤
ProviderName="Microsoft-Windows-Sysmon" and EventId=1 and CurrentDirectory startswith "\\\\"🔤
ProviderName="Microsoft-Windows-Sysmon" and EventId=1 and Image startswith "\\\\"#detection@detectioneasy
#ttp@detectioneasy
Post #230
1.28K
Detection is easy Всем привет 💻✌️ Злоумышленники злоупотребляют WebDAV для доставки вредоносов или запуска нагрузки с удаленного сервера. 🔭 Обнаружение: 🔤 Обнаруживаем запуск net.exe или net1.exe с аргументами "\\\\*@SSL\\*", "http*", "\\\\*@*\\*", "*DavWWWRoot*" 🔤 Отслеживаем…
🔭 Для обнаружения поведения выше воспользуемся правилами, которые описывали раннее и новыми:
🔤
🔤
#detection@detectioneasy
#ttp@detectioneasy
🔤
🔤
#detection@detectioneasy
#ttp@detectioneasy
- 🔥 8
- 🤔 5
- 👍 4