mirror of
https://github.com/Yamato-Security/WELA.git
synced 2026-05-09 04:42:35 +02:00
Sigma Rule Update (2026-04-05 20:25:08)
This commit is contained in:
YamatoSecurity
GitHub
+129
-129
@@ -1918,10 +1918,10 @@
|
||||
"T1570",
|
||||
"T1021.002",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1136",
|
||||
"T1021",
|
||||
"T1569",
|
||||
"T1136"
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "PSExec Lateral Movement"
|
||||
},
|
||||
@@ -3054,8 +3054,8 @@
|
||||
"TA0002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Remote Access Tool Services Have Been Installed - System"
|
||||
},
|
||||
@@ -3241,9 +3241,9 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1569"
|
||||
],
|
||||
"title": "CobaltStrike Service Installations - System"
|
||||
},
|
||||
@@ -3580,8 +3580,8 @@
|
||||
"TA0004",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543"
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Sliver C2 Default Service Installation"
|
||||
},
|
||||
@@ -6176,8 +6176,8 @@
|
||||
"TA0005",
|
||||
"T1036.005",
|
||||
"detection.emerging-threats",
|
||||
"T1036",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Greenbug Espionage Group Indicators"
|
||||
},
|
||||
@@ -6551,8 +6551,8 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1071",
|
||||
"T1543",
|
||||
"T1053"
|
||||
],
|
||||
"title": "OilRig APT Schedule Task Persistence - System"
|
||||
@@ -6586,9 +6586,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1053",
|
||||
"T1071"
|
||||
"T1071",
|
||||
"T1543"
|
||||
],
|
||||
"title": "OilRig APT Schedule Task Persistence - Security"
|
||||
},
|
||||
@@ -6620,9 +6620,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1071",
|
||||
"T1053",
|
||||
"T1543",
|
||||
"T1053"
|
||||
"T1071"
|
||||
],
|
||||
"title": "OilRig APT Registry Persistence"
|
||||
},
|
||||
@@ -6654,9 +6654,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1053",
|
||||
"T1071",
|
||||
"T1053"
|
||||
"T1543"
|
||||
],
|
||||
"title": "OilRig APT Activity"
|
||||
},
|
||||
@@ -7457,8 +7457,8 @@
|
||||
"T1053.005",
|
||||
"T1059.006",
|
||||
"detection.emerging-threats",
|
||||
"T1053",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1053"
|
||||
],
|
||||
"title": "Serpent Backdoor Payload Execution Via Scheduled Task"
|
||||
},
|
||||
@@ -9148,8 +9148,8 @@
|
||||
"T1059.001",
|
||||
"detection.emerging-threats",
|
||||
"T1036",
|
||||
"T1059",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Operation Wocao Activity"
|
||||
},
|
||||
@@ -9180,9 +9180,9 @@
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"detection.emerging-threats",
|
||||
"T1036",
|
||||
"T1053",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Operation Wocao Activity - Security"
|
||||
},
|
||||
@@ -9327,8 +9327,8 @@
|
||||
"T1059.001",
|
||||
"T1218.005",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Potential Baby Shark Malware Activity"
|
||||
},
|
||||
@@ -9813,8 +9813,8 @@
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "CosmicDuke Service Installation"
|
||||
},
|
||||
@@ -9888,9 +9888,9 @@
|
||||
"T1003.001",
|
||||
"car.2016-04-002",
|
||||
"detection.emerging-threats",
|
||||
"T1070",
|
||||
"T1003",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1070"
|
||||
],
|
||||
"title": "NotPetya Ransomware Activity"
|
||||
},
|
||||
@@ -9973,8 +9973,8 @@
|
||||
"T1566.001",
|
||||
"cve.2017-0261",
|
||||
"detection.emerging-threats",
|
||||
"T1204",
|
||||
"T1566"
|
||||
"T1566",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Exploit for CVE-2017-0261"
|
||||
},
|
||||
@@ -10001,8 +10001,8 @@
|
||||
"attack.s0412",
|
||||
"attack.g0001",
|
||||
"detection.emerging-threats",
|
||||
"T1218",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1218"
|
||||
],
|
||||
"title": "ZxShell Malware"
|
||||
},
|
||||
@@ -10031,8 +10031,8 @@
|
||||
"T1053.005",
|
||||
"T1027",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Turla Group Commands May 2020"
|
||||
},
|
||||
@@ -10593,8 +10593,8 @@
|
||||
"car.2013-09-005",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Malicious Service Installations"
|
||||
},
|
||||
@@ -10678,8 +10678,8 @@
|
||||
"T1570",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Metasploit Or Impacket Service Installation Via SMB PsExec"
|
||||
},
|
||||
@@ -12315,8 +12315,8 @@
|
||||
"T1059.001",
|
||||
"TA0008",
|
||||
"T1021.003",
|
||||
"T1021",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Suspicious Non PowerShell WSMAN COM Provider"
|
||||
},
|
||||
@@ -12876,8 +12876,8 @@
|
||||
"T1059.001",
|
||||
"TA0008",
|
||||
"T1021.006",
|
||||
"T1021",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Remote PowerShell Session (PS Module)"
|
||||
},
|
||||
@@ -13457,8 +13457,8 @@
|
||||
"T1529",
|
||||
"attack.g0091",
|
||||
"attack.s0363",
|
||||
"T1071",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1071"
|
||||
],
|
||||
"title": "Silence.EDA Detection"
|
||||
},
|
||||
@@ -19582,9 +19582,9 @@
|
||||
"T1485",
|
||||
"T1553.002",
|
||||
"attack.s0195",
|
||||
"T1070",
|
||||
"T1027",
|
||||
"T1553",
|
||||
"T1070"
|
||||
"T1553"
|
||||
],
|
||||
"title": "Potential Secure Deletion with SDelete"
|
||||
},
|
||||
@@ -19752,8 +19752,8 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1021",
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "CobaltStrike Service Installations - Security"
|
||||
@@ -21018,8 +21018,8 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543",
|
||||
"T1569",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Potential CobaltStrike Service Installations - Registry"
|
||||
@@ -23990,8 +23990,8 @@
|
||||
"TA0003",
|
||||
"T1548.002",
|
||||
"T1546.001",
|
||||
"T1546",
|
||||
"T1548"
|
||||
"T1548",
|
||||
"T1546"
|
||||
],
|
||||
"title": "Suspicious Shell Open Command Registry Modification"
|
||||
},
|
||||
@@ -26113,8 +26113,8 @@
|
||||
"T1564.004",
|
||||
"T1552.001",
|
||||
"T1105",
|
||||
"T1552",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1552"
|
||||
],
|
||||
"title": "Abusing Findstr for Defense Evasion"
|
||||
},
|
||||
@@ -27146,8 +27146,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1204",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Excel Proxy Executing Regsvr32 With Payload"
|
||||
},
|
||||
@@ -27293,8 +27293,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1204",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1204"
|
||||
],
|
||||
"title": "WMI Execution Via Office Process"
|
||||
},
|
||||
@@ -28567,8 +28567,8 @@
|
||||
"TA0010",
|
||||
"T1020",
|
||||
"detection.threat-hunting",
|
||||
"T1564",
|
||||
"T1114"
|
||||
"T1114",
|
||||
"T1564"
|
||||
],
|
||||
"title": "Mail Forwarding/Redirecting Activity Via ExchangePowerShell Cmdlet"
|
||||
},
|
||||
@@ -29155,8 +29155,8 @@
|
||||
"T1059.001",
|
||||
"T1027.010",
|
||||
"detection.threat-hunting",
|
||||
"T1027",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1027"
|
||||
],
|
||||
"title": "Invocation Of Crypto-Classes From The \"Cryptography\" PowerShell Namespace"
|
||||
},
|
||||
@@ -29325,8 +29325,8 @@
|
||||
"attack.s0039",
|
||||
"detection.threat-hunting",
|
||||
"T1087",
|
||||
"T1021",
|
||||
"T1069"
|
||||
"T1069",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Net.EXE Execution"
|
||||
},
|
||||
@@ -29418,8 +29418,8 @@
|
||||
"TA0001",
|
||||
"TA0043",
|
||||
"detection.threat-hunting",
|
||||
"T1566",
|
||||
"T1598"
|
||||
"T1598",
|
||||
"T1566"
|
||||
],
|
||||
"title": "HTML File Opened From Download Folder"
|
||||
},
|
||||
@@ -30999,8 +30999,8 @@
|
||||
"T1552.001",
|
||||
"T1555",
|
||||
"T1555.003",
|
||||
"T1552",
|
||||
"T1548"
|
||||
"T1548",
|
||||
"T1552"
|
||||
],
|
||||
"title": "HackTool - WinPwn Execution"
|
||||
},
|
||||
@@ -33164,8 +33164,8 @@
|
||||
"T1587.001",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1587",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1587"
|
||||
],
|
||||
"title": "PUA - CsExec Execution"
|
||||
},
|
||||
@@ -33475,8 +33475,8 @@
|
||||
"TA0005",
|
||||
"T1036.004",
|
||||
"T1036.005",
|
||||
"T1036",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Scheduled Task Creation Masquerading as System Processes"
|
||||
},
|
||||
@@ -34958,8 +34958,8 @@
|
||||
"T1059.003",
|
||||
"TA0005",
|
||||
"T1027.010",
|
||||
"T1059",
|
||||
"T1027"
|
||||
"T1027",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Suspicious Usage of For Loop with Recursive Directory Search in CMD"
|
||||
},
|
||||
@@ -37115,8 +37115,8 @@
|
||||
"T1218.011",
|
||||
"TA0006",
|
||||
"T1003.001",
|
||||
"T1003",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1003"
|
||||
],
|
||||
"title": "Process Access via TrolleyExpress Exclusion"
|
||||
},
|
||||
@@ -37432,8 +37432,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1218",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Suspicious WMIC Execution Via Office Process"
|
||||
},
|
||||
@@ -37620,8 +37620,8 @@
|
||||
"car.2013-08-001",
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"T1059",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1059"
|
||||
],
|
||||
"title": "HackTool - Default PowerSploit/Empire Scheduled Task Creation"
|
||||
},
|
||||
@@ -37957,8 +37957,8 @@
|
||||
"TA0002",
|
||||
"T1059.007",
|
||||
"cve.2020-1599",
|
||||
"T1059",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1059"
|
||||
],
|
||||
"title": "MSHTA Execution with Suspicious File Extensions"
|
||||
},
|
||||
@@ -38561,8 +38561,8 @@
|
||||
"T1021.004",
|
||||
"TA0011",
|
||||
"T1219",
|
||||
"T1059",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1059"
|
||||
],
|
||||
"title": "OpenEDR Spawning Command Shell"
|
||||
},
|
||||
@@ -38984,8 +38984,8 @@
|
||||
"T1087.002",
|
||||
"T1069.002",
|
||||
"T1482",
|
||||
"T1069",
|
||||
"T1087"
|
||||
"T1087",
|
||||
"T1069"
|
||||
],
|
||||
"title": "Active Directory Database Snapshot Via ADExplorer"
|
||||
},
|
||||
@@ -39626,8 +39626,8 @@
|
||||
"T1563.002",
|
||||
"T1021.001",
|
||||
"car.2013-07-002",
|
||||
"T1563",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1563"
|
||||
],
|
||||
"title": "Suspicious RDP Redirect Using TSCON"
|
||||
},
|
||||
@@ -40811,8 +40811,8 @@
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1059",
|
||||
"T1027",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1027"
|
||||
],
|
||||
"title": "Obfuscated PowerShell MSI Install via WindowsInstaller COM"
|
||||
},
|
||||
@@ -42595,8 +42595,8 @@
|
||||
"T1558.003",
|
||||
"TA0008",
|
||||
"T1550.003",
|
||||
"T1558",
|
||||
"T1550"
|
||||
"T1550",
|
||||
"T1558"
|
||||
],
|
||||
"title": "HackTool - KrbRelayUp Execution"
|
||||
},
|
||||
@@ -42965,8 +42965,8 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"T1132.001",
|
||||
"T1132",
|
||||
"T1048",
|
||||
"T1132",
|
||||
"T1071"
|
||||
],
|
||||
"title": "DNS Exfiltration and Tunneling Tools Execution"
|
||||
@@ -43541,8 +43541,8 @@
|
||||
"T1070.001",
|
||||
"T1562.002",
|
||||
"car.2016-04-002",
|
||||
"T1070",
|
||||
"T1562"
|
||||
"T1562",
|
||||
"T1070"
|
||||
],
|
||||
"title": "Suspicious Eventlog Clearing or Configuration Change Activity"
|
||||
},
|
||||
@@ -43616,8 +43616,8 @@
|
||||
"T1218.014",
|
||||
"T1036.002",
|
||||
"T1218",
|
||||
"T1204",
|
||||
"T1036"
|
||||
"T1036",
|
||||
"T1204"
|
||||
],
|
||||
"title": "MMC Executing Files with Reversed Extensions Using RTLO Abuse"
|
||||
},
|
||||
@@ -43975,8 +43975,8 @@
|
||||
"T1482",
|
||||
"T1069.002",
|
||||
"stp.1u",
|
||||
"T1069",
|
||||
"T1087"
|
||||
"T1087",
|
||||
"T1069"
|
||||
],
|
||||
"title": "PUA - AdFind Suspicious Execution"
|
||||
},
|
||||
@@ -44019,8 +44019,8 @@
|
||||
"TA0005",
|
||||
"T1562.001",
|
||||
"T1070.001",
|
||||
"T1562",
|
||||
"T1070"
|
||||
"T1070",
|
||||
"T1562"
|
||||
],
|
||||
"title": "Suspicious Windows Trace ETW Session Tamper Via Logman.EXE"
|
||||
},
|
||||
@@ -44482,8 +44482,8 @@
|
||||
"TA0008",
|
||||
"T1021.002",
|
||||
"T1218.011",
|
||||
"T1218",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Rundll32 UNC Path Execution"
|
||||
},
|
||||
@@ -44719,8 +44719,8 @@
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1562.001",
|
||||
"T1562",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1562"
|
||||
],
|
||||
"title": "Obfuscated PowerShell OneLiner Execution"
|
||||
},
|
||||
@@ -46279,8 +46279,8 @@
|
||||
"TA0005",
|
||||
"T1059.001",
|
||||
"T1564.003",
|
||||
"T1564",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1564"
|
||||
],
|
||||
"title": "HackTool - Covenant PowerShell Launcher"
|
||||
},
|
||||
@@ -47073,8 +47073,8 @@
|
||||
"TA0008",
|
||||
"T1059.001",
|
||||
"T1021.006",
|
||||
"T1021",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Remote PowerShell Session Host Process (WinRM)"
|
||||
},
|
||||
@@ -47833,8 +47833,8 @@
|
||||
"TA0002",
|
||||
"T1552.004",
|
||||
"T1059.001",
|
||||
"T1552",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1552"
|
||||
],
|
||||
"title": "Certificate Exported Via PowerShell"
|
||||
},
|
||||
@@ -48785,8 +48785,8 @@
|
||||
"TA0003",
|
||||
"T1543.003",
|
||||
"T1574.011",
|
||||
"T1543",
|
||||
"T1574"
|
||||
"T1574",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Potential Persistence Attempt Via Existing Service Tampering"
|
||||
},
|
||||
@@ -49119,8 +49119,8 @@
|
||||
"T1059.001",
|
||||
"TA0005",
|
||||
"T1027.005",
|
||||
"T1027",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1027"
|
||||
],
|
||||
"title": "HackTool - CrackMapExec PowerShell Obfuscation"
|
||||
},
|
||||
@@ -49443,12 +49443,12 @@
|
||||
"T1547.002",
|
||||
"T1557",
|
||||
"T1082",
|
||||
"T1556",
|
||||
"T1505",
|
||||
"T1547",
|
||||
"T1546",
|
||||
"T1547",
|
||||
"T1556",
|
||||
"T1574",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1505"
|
||||
],
|
||||
"title": "Potential Suspicious Activity Using SeCEdit"
|
||||
},
|
||||
@@ -49882,8 +49882,8 @@
|
||||
"T1087.002",
|
||||
"T1069.002",
|
||||
"T1482",
|
||||
"T1069",
|
||||
"T1087"
|
||||
"T1087",
|
||||
"T1069"
|
||||
],
|
||||
"title": "Suspicious Active Directory Database Snapshot Via ADExplorer"
|
||||
},
|
||||
@@ -51351,8 +51351,8 @@
|
||||
"T1204.004",
|
||||
"TA0005",
|
||||
"T1027.010",
|
||||
"T1027",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1027"
|
||||
],
|
||||
"title": "Suspicious Explorer Process with Whitespace Padding - ClickFix/FileFix"
|
||||
},
|
||||
@@ -51919,8 +51919,8 @@
|
||||
"TA0003",
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"T1053",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1053"
|
||||
],
|
||||
"title": "Scheduled Task Executing Encoded Payload from Registry"
|
||||
},
|
||||
@@ -52495,9 +52495,9 @@
|
||||
"TA0005",
|
||||
"T1218.005",
|
||||
"T1027.004",
|
||||
"T1027",
|
||||
"T1059",
|
||||
"T1218",
|
||||
"T1027"
|
||||
"T1218"
|
||||
],
|
||||
"title": "Csc.EXE Execution Form Potentially Suspicious Parent"
|
||||
},
|
||||
@@ -55071,8 +55071,8 @@
|
||||
"TA0002",
|
||||
"T1204.002",
|
||||
"T1553.005",
|
||||
"T1204",
|
||||
"T1553"
|
||||
"T1553",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Windows AppX Deployment Unsigned Package Installation"
|
||||
},
|
||||
|
||||
Reference in New Issue
Block a user