Всем привет! 💻✌️

Интересный LPE, но что нам с этим делать?

🔭 Обнаружение:

🔤 утилита zabbix_get, как правило используется с сервера zabbix, который в большинстве своем развернут на Linux. Построим на этом детект

ProviderName="Microsoft-Windows-Sysmon" and EventId=1 and (Image endswith: '\zabbix_get.exe' or Description = "zabbix_sender.exe")

p.s. хосты админов могут фолсить

#detection@detectioneasy
#ttp@detectioneasy