mirror of
https://github.com/Yamato-Security/WELA.git
synced 2026-05-09 04:42:35 +02:00
Sigma Rule Update (2026-04-13 20:46:09)
This commit is contained in:
YamatoSecurity
GitHub
+125
-125
@@ -920,8 +920,8 @@
|
||||
"TA0005",
|
||||
"T1562.001",
|
||||
"T1070.001",
|
||||
"T1070",
|
||||
"T1562"
|
||||
"T1562",
|
||||
"T1070"
|
||||
],
|
||||
"title": "Suspicious Windows Trace ETW Session Tamper Via Logman.EXE"
|
||||
},
|
||||
@@ -987,9 +987,9 @@
|
||||
"TA0005",
|
||||
"T1218.014",
|
||||
"T1036.002",
|
||||
"T1204",
|
||||
"T1036",
|
||||
"T1218",
|
||||
"T1036"
|
||||
"T1204"
|
||||
],
|
||||
"title": "MMC Executing Files with Reversed Extensions Using RTLO Abuse"
|
||||
},
|
||||
@@ -1433,8 +1433,8 @@
|
||||
"T1564.004",
|
||||
"T1552.001",
|
||||
"T1105",
|
||||
"T1564",
|
||||
"T1552"
|
||||
"T1552",
|
||||
"T1564"
|
||||
],
|
||||
"title": "Remote File Download Via Findstr.EXE"
|
||||
},
|
||||
@@ -2596,8 +2596,8 @@
|
||||
"TA0008",
|
||||
"T1021.002",
|
||||
"T1218.011",
|
||||
"T1218",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Rundll32 UNC Path Execution"
|
||||
},
|
||||
@@ -4604,8 +4604,8 @@
|
||||
"T1047",
|
||||
"T1204.002",
|
||||
"T1218.010",
|
||||
"T1218",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Suspicious WmiPrvSE Child Process"
|
||||
},
|
||||
@@ -5373,8 +5373,8 @@
|
||||
"T1133",
|
||||
"T1136.001",
|
||||
"T1021.001",
|
||||
"T1136",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1136"
|
||||
],
|
||||
"title": "User Added to Remote Desktop Users Group"
|
||||
},
|
||||
@@ -6802,8 +6802,8 @@
|
||||
"T1562.001",
|
||||
"TA0006",
|
||||
"T1003.001",
|
||||
"T1562",
|
||||
"T1003"
|
||||
"T1003",
|
||||
"T1562"
|
||||
],
|
||||
"title": "PPL Tampering Via WerFaultSecure"
|
||||
},
|
||||
@@ -7485,8 +7485,8 @@
|
||||
"TA0004",
|
||||
"T1543.003",
|
||||
"T1562.001",
|
||||
"T1543",
|
||||
"T1562"
|
||||
"T1562",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Devcon Execution Disabling VMware VMCI Device"
|
||||
},
|
||||
@@ -8017,8 +8017,8 @@
|
||||
"T1558.003",
|
||||
"TA0008",
|
||||
"T1550.003",
|
||||
"T1550",
|
||||
"T1558"
|
||||
"T1558",
|
||||
"T1550"
|
||||
],
|
||||
"title": "HackTool - KrbRelayUp Execution"
|
||||
},
|
||||
@@ -8772,9 +8772,9 @@
|
||||
"T1218.007",
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1027",
|
||||
"T1218",
|
||||
"T1059",
|
||||
"T1027"
|
||||
"T1059"
|
||||
],
|
||||
"title": "Obfuscated PowerShell MSI Install via WindowsInstaller COM"
|
||||
},
|
||||
@@ -10166,8 +10166,8 @@
|
||||
"TA0003",
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"T1059",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Suspicious Schtasks Execution AppData Folder"
|
||||
},
|
||||
@@ -10517,9 +10517,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"T1132.001",
|
||||
"T1132",
|
||||
"T1071",
|
||||
"T1048",
|
||||
"T1071"
|
||||
"T1132"
|
||||
],
|
||||
"title": "DNS Exfiltration and Tunneling Tools Execution"
|
||||
},
|
||||
@@ -11142,8 +11142,8 @@
|
||||
"TA0003",
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"T1053",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1053"
|
||||
],
|
||||
"title": "Scheduled Task Executing Encoded Payload from Registry"
|
||||
},
|
||||
@@ -12381,8 +12381,8 @@
|
||||
"T1587.001",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1587",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1587"
|
||||
],
|
||||
"title": "PUA - CsExec Execution"
|
||||
},
|
||||
@@ -13510,8 +13510,8 @@
|
||||
"T1548.002",
|
||||
"T1546.001",
|
||||
"T1112",
|
||||
"T1546",
|
||||
"T1548"
|
||||
"T1548",
|
||||
"T1546"
|
||||
],
|
||||
"title": "Registry Modification of MS-settings Protocol Handler"
|
||||
},
|
||||
@@ -14075,8 +14075,8 @@
|
||||
"TA0005",
|
||||
"T1036.004",
|
||||
"T1036.005",
|
||||
"T1036",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Scheduled Task Creation Masquerading as System Processes"
|
||||
},
|
||||
@@ -14397,8 +14397,8 @@
|
||||
"T1059.001",
|
||||
"T1059.003",
|
||||
"T1564.003",
|
||||
"T1059",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Powershell Executed From Headless ConHost Process"
|
||||
},
|
||||
@@ -15115,8 +15115,8 @@
|
||||
"TA0004",
|
||||
"T1036.003",
|
||||
"T1053.005",
|
||||
"T1036",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Renamed Schtasks Execution"
|
||||
},
|
||||
@@ -15882,8 +15882,8 @@
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1562.001",
|
||||
"T1059",
|
||||
"T1562"
|
||||
"T1562",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Obfuscated PowerShell OneLiner Execution"
|
||||
},
|
||||
@@ -16375,8 +16375,8 @@
|
||||
"T1570",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Rundll32 Execution Without Parameters"
|
||||
},
|
||||
@@ -16830,9 +16830,9 @@
|
||||
"T1069.002",
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1087",
|
||||
"T1069",
|
||||
"T1059",
|
||||
"T1087"
|
||||
"T1059"
|
||||
],
|
||||
"title": "HackTool - Bloodhound/Sharphound Execution"
|
||||
},
|
||||
@@ -18191,8 +18191,8 @@
|
||||
"T1482",
|
||||
"T1069.002",
|
||||
"stp.1u",
|
||||
"T1069",
|
||||
"T1087"
|
||||
"T1087",
|
||||
"T1069"
|
||||
],
|
||||
"title": "PUA - AdFind Suspicious Execution"
|
||||
},
|
||||
@@ -18916,8 +18916,8 @@
|
||||
"T1021.004",
|
||||
"TA0011",
|
||||
"T1219",
|
||||
"T1021",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1021"
|
||||
],
|
||||
"title": "OpenEDR Spawning Command Shell"
|
||||
},
|
||||
@@ -19339,8 +19339,8 @@
|
||||
"TA0008",
|
||||
"T1059.001",
|
||||
"T1021.006",
|
||||
"T1059",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Remote PowerShell Session Host Process (WinRM)"
|
||||
},
|
||||
@@ -19390,8 +19390,8 @@
|
||||
"TA0005",
|
||||
"T1548.002",
|
||||
"T1218.003",
|
||||
"T1218",
|
||||
"T1548"
|
||||
"T1548",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Bypass UAC via CMSTP"
|
||||
},
|
||||
@@ -19568,11 +19568,11 @@
|
||||
"T1547.002",
|
||||
"T1557",
|
||||
"T1082",
|
||||
"T1564",
|
||||
"T1556",
|
||||
"T1574",
|
||||
"T1546",
|
||||
"T1574",
|
||||
"T1564",
|
||||
"T1547",
|
||||
"T1556",
|
||||
"T1505"
|
||||
],
|
||||
"title": "Potential Suspicious Activity Using SeCEdit"
|
||||
@@ -20039,8 +20039,8 @@
|
||||
"T1615",
|
||||
"T1569.002",
|
||||
"T1574.005",
|
||||
"T1569",
|
||||
"T1574"
|
||||
"T1574",
|
||||
"T1569"
|
||||
],
|
||||
"title": "HackTool - SharpUp PrivEsc Tool Execution"
|
||||
},
|
||||
@@ -20381,8 +20381,8 @@
|
||||
"T1059.001",
|
||||
"TA0005",
|
||||
"T1027.005",
|
||||
"T1059",
|
||||
"T1027"
|
||||
"T1027",
|
||||
"T1059"
|
||||
],
|
||||
"title": "HackTool - CrackMapExec PowerShell Obfuscation"
|
||||
},
|
||||
@@ -20935,8 +20935,8 @@
|
||||
"T1558.003",
|
||||
"TA0008",
|
||||
"T1550.003",
|
||||
"T1558",
|
||||
"T1550"
|
||||
"T1550",
|
||||
"T1558"
|
||||
],
|
||||
"title": "HackTool - Rubeus Execution"
|
||||
},
|
||||
@@ -21443,8 +21443,8 @@
|
||||
"TA0005",
|
||||
"T1219.002",
|
||||
"T1036.003",
|
||||
"T1219",
|
||||
"T1036"
|
||||
"T1036",
|
||||
"T1219"
|
||||
],
|
||||
"title": "Remote Access Tool - Renamed MeshAgent Execution - Windows"
|
||||
},
|
||||
@@ -23226,8 +23226,8 @@
|
||||
"TA0005",
|
||||
"T1059.001",
|
||||
"T1564.003",
|
||||
"T1564",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1564"
|
||||
],
|
||||
"title": "HackTool - Covenant PowerShell Launcher"
|
||||
},
|
||||
@@ -26143,8 +26143,8 @@
|
||||
"attack.s0412",
|
||||
"attack.g0001",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1059"
|
||||
],
|
||||
"title": "ZxShell Malware"
|
||||
},
|
||||
@@ -27928,8 +27928,8 @@
|
||||
"T1059.001",
|
||||
"attack.s0183",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1071"
|
||||
"T1071",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Kalambur Backdoor Curl TOR SOCKS Proxy Execution"
|
||||
},
|
||||
@@ -28389,8 +28389,8 @@
|
||||
"T1552.001",
|
||||
"T1003.003",
|
||||
"detection.emerging-threats",
|
||||
"T1003",
|
||||
"T1552"
|
||||
"T1552",
|
||||
"T1003"
|
||||
],
|
||||
"title": "Potential Russian APT Credential Theft Activity"
|
||||
},
|
||||
@@ -28468,9 +28468,9 @@
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1036",
|
||||
"T1053",
|
||||
"T1036"
|
||||
"T1059"
|
||||
],
|
||||
"title": "Operation Wocao Activity"
|
||||
},
|
||||
@@ -28530,8 +28530,8 @@
|
||||
"T1566.001",
|
||||
"cve.2017-0261",
|
||||
"detection.emerging-threats",
|
||||
"T1204",
|
||||
"T1566"
|
||||
"T1566",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Exploit for CVE-2017-0261"
|
||||
},
|
||||
@@ -28558,8 +28558,8 @@
|
||||
"T1566.001",
|
||||
"cve.2017-11882",
|
||||
"detection.emerging-threats",
|
||||
"T1204",
|
||||
"T1566"
|
||||
"T1566",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Droppers Exploiting CVE-2017-11882"
|
||||
},
|
||||
@@ -28694,8 +28694,8 @@
|
||||
"T1003.001",
|
||||
"car.2016-04-002",
|
||||
"detection.emerging-threats",
|
||||
"T1070",
|
||||
"T1218",
|
||||
"T1070",
|
||||
"T1003"
|
||||
],
|
||||
"title": "NotPetya Ransomware Activity"
|
||||
@@ -29747,8 +29747,8 @@
|
||||
"TA0005",
|
||||
"T1036.005",
|
||||
"detection.emerging-threats",
|
||||
"T1036",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Greenbug Espionage Group Indicators"
|
||||
},
|
||||
@@ -30077,9 +30077,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1053",
|
||||
"T1543",
|
||||
"T1071",
|
||||
"T1053"
|
||||
"T1071"
|
||||
],
|
||||
"title": "OilRig APT Activity"
|
||||
},
|
||||
@@ -30112,9 +30112,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1053",
|
||||
"T1071",
|
||||
"T1543"
|
||||
"T1071"
|
||||
],
|
||||
"title": "OilRig APT Schedule Task Persistence - Security"
|
||||
},
|
||||
@@ -30146,9 +30146,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1071",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1543"
|
||||
],
|
||||
"title": "OilRig APT Registry Persistence"
|
||||
},
|
||||
@@ -34160,8 +34160,8 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1021",
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Potential CobaltStrike Service Installations - Registry"
|
||||
@@ -34517,8 +34517,8 @@
|
||||
"T1204.004",
|
||||
"TA0005",
|
||||
"T1027.010",
|
||||
"T1204",
|
||||
"T1027"
|
||||
"T1027",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Suspicious Space Characters in TypedPaths Registry Path - FileFix"
|
||||
},
|
||||
@@ -35358,8 +35358,8 @@
|
||||
"TA0003",
|
||||
"T1547.001",
|
||||
"T1546.009",
|
||||
"T1546",
|
||||
"T1547"
|
||||
"T1547",
|
||||
"T1546"
|
||||
],
|
||||
"title": "Session Manager Autorun Keys Modification"
|
||||
},
|
||||
@@ -38718,8 +38718,8 @@
|
||||
"T1059.001",
|
||||
"TA0003",
|
||||
"T1136.001",
|
||||
"T1059",
|
||||
"T1136"
|
||||
"T1136",
|
||||
"T1059"
|
||||
],
|
||||
"title": "PowerShell Create Local User"
|
||||
},
|
||||
@@ -39187,8 +39187,8 @@
|
||||
"T1564.004",
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1059",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1059"
|
||||
],
|
||||
"title": "NTFS Alternate Data Stream"
|
||||
},
|
||||
@@ -41339,8 +41339,8 @@
|
||||
"T1059.005",
|
||||
"T1059.006",
|
||||
"T1059.007",
|
||||
"T1059",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1059"
|
||||
],
|
||||
"title": "AppLocker Prevented Application or Script from Running"
|
||||
},
|
||||
@@ -42809,9 +42809,9 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1543"
|
||||
],
|
||||
"title": "CobaltStrike Service Installations - System"
|
||||
},
|
||||
@@ -42858,8 +42858,8 @@
|
||||
"T1003.006",
|
||||
"T1569.002",
|
||||
"attack.s0005",
|
||||
"T1569",
|
||||
"T1003"
|
||||
"T1003",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Credential Dumping Tools Service Execution - System"
|
||||
},
|
||||
@@ -43113,8 +43113,8 @@
|
||||
"TA0002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543"
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Remote Access Tool Services Have Been Installed - System"
|
||||
},
|
||||
@@ -43201,8 +43201,8 @@
|
||||
"TA0004",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543"
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Sliver C2 Default Service Installation"
|
||||
},
|
||||
@@ -43886,8 +43886,8 @@
|
||||
"TA0002",
|
||||
"T1204.002",
|
||||
"T1553.005",
|
||||
"T1204",
|
||||
"T1553"
|
||||
"T1553",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Windows AppX Deployment Unsigned Package Installation"
|
||||
},
|
||||
@@ -44793,8 +44793,8 @@
|
||||
"T1071.004",
|
||||
"TA0002",
|
||||
"T1059.003",
|
||||
"T1059",
|
||||
"T1071"
|
||||
"T1071",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Network Connection Initiated via Finger.EXE"
|
||||
},
|
||||
@@ -45045,8 +45045,8 @@
|
||||
"TA0001",
|
||||
"TA0043",
|
||||
"detection.threat-hunting",
|
||||
"T1598",
|
||||
"T1566"
|
||||
"T1566",
|
||||
"T1598"
|
||||
],
|
||||
"title": "HTML File Opened From Download Folder"
|
||||
},
|
||||
@@ -45431,8 +45431,8 @@
|
||||
"T1059.001",
|
||||
"T1027.010",
|
||||
"detection.threat-hunting",
|
||||
"T1059",
|
||||
"T1027"
|
||||
"T1027",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Invocation Of Crypto-Classes From The \"Cryptography\" PowerShell Namespace"
|
||||
},
|
||||
@@ -45760,8 +45760,8 @@
|
||||
"attack.s0039",
|
||||
"detection.threat-hunting",
|
||||
"T1069",
|
||||
"T1087",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1087"
|
||||
],
|
||||
"title": "Net.EXE Execution"
|
||||
},
|
||||
@@ -46537,8 +46537,8 @@
|
||||
"TA0009",
|
||||
"T1114.003",
|
||||
"detection.threat-hunting",
|
||||
"T1114",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1114"
|
||||
],
|
||||
"title": "Inbox Rules Creation Or Update Activity Via ExchangePowerShell Cmdlet"
|
||||
},
|
||||
@@ -48007,8 +48007,8 @@
|
||||
"T1090.002",
|
||||
"T1021.001",
|
||||
"car.2013-07-002",
|
||||
"T1021",
|
||||
"T1090"
|
||||
"T1090",
|
||||
"T1021"
|
||||
],
|
||||
"title": "RDP over Reverse SSH Tunnel WFP"
|
||||
},
|
||||
@@ -49373,9 +49373,9 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1021",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "CobaltStrike Service Installations - Security"
|
||||
},
|
||||
@@ -49800,9 +49800,9 @@
|
||||
"T1485",
|
||||
"T1553.002",
|
||||
"attack.s0195",
|
||||
"T1027",
|
||||
"T1070",
|
||||
"T1553"
|
||||
"T1553",
|
||||
"T1027"
|
||||
],
|
||||
"title": "Potential Secure Deletion with SDelete"
|
||||
},
|
||||
@@ -52477,8 +52477,8 @@
|
||||
"T1564.004",
|
||||
"T1552.001",
|
||||
"T1105",
|
||||
"T1552",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1552"
|
||||
],
|
||||
"title": "Abusing Findstr for Defense Evasion"
|
||||
},
|
||||
@@ -55227,9 +55227,9 @@
|
||||
"T1570",
|
||||
"T1021.002",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1136",
|
||||
"T1021",
|
||||
"T1136",
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "PSExec Lateral Movement"
|
||||
|
||||
Reference in New Issue
Block a user