امروز برای اولین ‌بار سراغ یک تکنیک کاربردی می ‌ریم که برای شکار تهدید خیلی مفیده

Masquerading: Match Legitimate Resource Name or Location (T1036.005).

مثل همیشه، با یک مثال شروع می‌کنیم

https://securelist.com/mysterious-elephant-apt-ttps-and-tools/117596/

C:\ProgramData\Intel\ping.exe

C:\Users\Public\ping.exe

همان‌طور که مشاهده می‌شود، مهاجمان فایل‌های مخرب را شبیه ابزارِ معتبر ping جلوه داده‌اند. چنین مواردی را می‌توان مستند سازی کرد و هم برای تشخیص و هم برای شکار تهدید از آن ‌ها استفاده کرد برای مثال:

event_type: "processcreatewin"

AND

proc_file_path: "ping.exe"

AND NOT

proc_file_path: ("windows\system32" OR "windows\syswow64")

@TryHackBox