Всем привет! 💻✌️

Коллеги из Zero Salarium описали кейс, когда при создании новой задачи или службы указывается несуществующий исполняемый файл, например, C:\TMP\test

При создании процесса CreateProcess пытается найти указанный файл, если test не существует, система автоматически ищет в той же директории файл test.exe
Таким образом, если в папке C:\TMP\ лежит файл test.exe, он будет успешно запущен

Такой же трюк можно сделать с двойным расширением:
В задаче указываем c:\temp\test.exe, а в директории будет файл c:\temp\test.exe.exe

В целом ничего страшного не происходит, нужно проверить (доработать), что автореспонс (и скрипты) найдут файл, указанный в задаче

🔭 Обнаружение (Threat Hunting):

🔤 мониторим процессы и файлы с двойным расширением
🔤 можем смапить путь к файлу в реестре (задаче или службы) и его наличие на диске

#detectioneasy
#ttp@detectioneasy