mirror of
https://github.com/Yamato-Security/WELA.git
synced 2026-05-09 04:42:35 +02:00
Sigma Rule Update (2026-04-08 20:36:22)
This commit is contained in:
YamatoSecurity
GitHub
+140
-140
@@ -1919,9 +1919,9 @@
|
||||
"T1021.002",
|
||||
"T1569.002",
|
||||
"T1021",
|
||||
"T1136",
|
||||
"T1569",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1136"
|
||||
],
|
||||
"title": "PSExec Lateral Movement"
|
||||
},
|
||||
@@ -3029,8 +3029,8 @@
|
||||
"T1003.006",
|
||||
"T1569.002",
|
||||
"attack.s0005",
|
||||
"T1569",
|
||||
"T1003"
|
||||
"T1003",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Credential Dumping Tools Service Execution - System"
|
||||
},
|
||||
@@ -3054,8 +3054,8 @@
|
||||
"TA0002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Remote Access Tool Services Have Been Installed - System"
|
||||
},
|
||||
@@ -3241,9 +3241,9 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1543"
|
||||
],
|
||||
"title": "CobaltStrike Service Installations - System"
|
||||
},
|
||||
@@ -3327,8 +3327,8 @@
|
||||
"TA0004",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543"
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "ProcessHacker Privilege Elevation"
|
||||
},
|
||||
@@ -3430,8 +3430,8 @@
|
||||
"TA0002",
|
||||
"T1021.002",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1569"
|
||||
],
|
||||
"title": "smbexec.py Service Installation"
|
||||
},
|
||||
@@ -3580,8 +3580,8 @@
|
||||
"TA0004",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Sliver C2 Default Service Installation"
|
||||
},
|
||||
@@ -6176,8 +6176,8 @@
|
||||
"TA0005",
|
||||
"T1036.005",
|
||||
"detection.emerging-threats",
|
||||
"T1036",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Greenbug Espionage Group Indicators"
|
||||
},
|
||||
@@ -6551,9 +6551,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1071",
|
||||
"T1053",
|
||||
"T1543"
|
||||
"T1543",
|
||||
"T1071"
|
||||
],
|
||||
"title": "OilRig APT Schedule Task Persistence - System"
|
||||
},
|
||||
@@ -6587,8 +6587,8 @@
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1071",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1071"
|
||||
],
|
||||
"title": "OilRig APT Schedule Task Persistence - Security"
|
||||
},
|
||||
@@ -6620,9 +6620,9 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1053",
|
||||
"T1071",
|
||||
"T1053"
|
||||
"T1543"
|
||||
],
|
||||
"title": "OilRig APT Registry Persistence"
|
||||
},
|
||||
@@ -7457,8 +7457,8 @@
|
||||
"T1053.005",
|
||||
"T1059.006",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Serpent Backdoor Payload Execution Via Scheduled Task"
|
||||
},
|
||||
@@ -9069,8 +9069,8 @@
|
||||
"T1003.001",
|
||||
"T1560.001",
|
||||
"detection.emerging-threats",
|
||||
"T1003",
|
||||
"T1560"
|
||||
"T1560",
|
||||
"T1003"
|
||||
],
|
||||
"title": "APT31 Judgement Panda Activity"
|
||||
},
|
||||
@@ -9147,9 +9147,9 @@
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"detection.emerging-threats",
|
||||
"T1036",
|
||||
"T1059",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Operation Wocao Activity"
|
||||
},
|
||||
@@ -9180,9 +9180,9 @@
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1036",
|
||||
"T1053",
|
||||
"T1036"
|
||||
"T1059"
|
||||
],
|
||||
"title": "Operation Wocao Activity - Security"
|
||||
},
|
||||
@@ -9327,8 +9327,8 @@
|
||||
"T1059.001",
|
||||
"T1218.005",
|
||||
"detection.emerging-threats",
|
||||
"T1059",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Potential Baby Shark Malware Activity"
|
||||
},
|
||||
@@ -9813,8 +9813,8 @@
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"detection.emerging-threats",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "CosmicDuke Service Installation"
|
||||
},
|
||||
@@ -9889,8 +9889,8 @@
|
||||
"car.2016-04-002",
|
||||
"detection.emerging-threats",
|
||||
"T1070",
|
||||
"T1218",
|
||||
"T1003"
|
||||
"T1003",
|
||||
"T1218"
|
||||
],
|
||||
"title": "NotPetya Ransomware Activity"
|
||||
},
|
||||
@@ -9917,8 +9917,8 @@
|
||||
"T1566.001",
|
||||
"cve.2017-8759",
|
||||
"detection.emerging-threats",
|
||||
"T1566",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1566"
|
||||
],
|
||||
"title": "Exploit for CVE-2017-8759"
|
||||
},
|
||||
@@ -9973,8 +9973,8 @@
|
||||
"T1566.001",
|
||||
"cve.2017-0261",
|
||||
"detection.emerging-threats",
|
||||
"T1566",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1566"
|
||||
],
|
||||
"title": "Exploit for CVE-2017-0261"
|
||||
},
|
||||
@@ -10593,8 +10593,8 @@
|
||||
"car.2013-09-005",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1543",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Malicious Service Installations"
|
||||
},
|
||||
@@ -10678,8 +10678,8 @@
|
||||
"T1570",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Metasploit Or Impacket Service Installation Via SMB PsExec"
|
||||
},
|
||||
@@ -10838,8 +10838,8 @@
|
||||
"T1059.005",
|
||||
"T1059.006",
|
||||
"T1059.007",
|
||||
"T1204",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1204"
|
||||
],
|
||||
"title": "AppLocker Prevented Application or Script from Running"
|
||||
},
|
||||
@@ -12418,8 +12418,8 @@
|
||||
"TA0005",
|
||||
"T1059.001",
|
||||
"T1036.003",
|
||||
"T1036",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Renamed Powershell Under Powershell Channel"
|
||||
},
|
||||
@@ -12876,8 +12876,8 @@
|
||||
"T1059.001",
|
||||
"TA0008",
|
||||
"T1021.006",
|
||||
"T1021",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Remote PowerShell Session (PS Module)"
|
||||
},
|
||||
@@ -16369,8 +16369,8 @@
|
||||
"T1552.001",
|
||||
"T1555",
|
||||
"T1555.003",
|
||||
"T1552",
|
||||
"T1548"
|
||||
"T1548",
|
||||
"T1552"
|
||||
],
|
||||
"title": "HackTool - WinPwn Execution - ScriptBlock"
|
||||
},
|
||||
@@ -16808,8 +16808,8 @@
|
||||
"T1570",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1021",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Metasploit Or Impacket Service Installation Via SMB PsExec"
|
||||
},
|
||||
@@ -18924,8 +18924,8 @@
|
||||
"TA0002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543"
|
||||
"T1543",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Remote Access Tool Services Have Been Installed - Security"
|
||||
},
|
||||
@@ -19477,8 +19477,8 @@
|
||||
"T1003.006",
|
||||
"T1569.002",
|
||||
"attack.s0005",
|
||||
"T1569",
|
||||
"T1003"
|
||||
"T1003",
|
||||
"T1569"
|
||||
],
|
||||
"title": "Credential Dumping Tools Service Execution - Security"
|
||||
},
|
||||
@@ -19582,9 +19582,9 @@
|
||||
"T1485",
|
||||
"T1553.002",
|
||||
"attack.s0195",
|
||||
"T1027",
|
||||
"T1070",
|
||||
"T1553",
|
||||
"T1070"
|
||||
"T1027"
|
||||
],
|
||||
"title": "Potential Secure Deletion with SDelete"
|
||||
},
|
||||
@@ -19753,8 +19753,8 @@
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1569",
|
||||
"T1543",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1543"
|
||||
],
|
||||
"title": "CobaltStrike Service Installations - Security"
|
||||
},
|
||||
@@ -21018,9 +21018,9 @@
|
||||
"T1021.002",
|
||||
"T1543.003",
|
||||
"T1569.002",
|
||||
"T1021",
|
||||
"T1569",
|
||||
"T1543",
|
||||
"T1021"
|
||||
"T1543"
|
||||
],
|
||||
"title": "Potential CobaltStrike Service Installations - Registry"
|
||||
},
|
||||
@@ -23990,8 +23990,8 @@
|
||||
"TA0003",
|
||||
"T1548.002",
|
||||
"T1546.001",
|
||||
"T1548",
|
||||
"T1546"
|
||||
"T1546",
|
||||
"T1548"
|
||||
],
|
||||
"title": "Suspicious Shell Open Command Registry Modification"
|
||||
},
|
||||
@@ -26087,8 +26087,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1218",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1218"
|
||||
],
|
||||
"title": "New Lolbin Process by Office Applications"
|
||||
},
|
||||
@@ -27146,8 +27146,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1204",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Excel Proxy Executing Regsvr32 With Payload"
|
||||
},
|
||||
@@ -27172,8 +27172,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1218",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Office Applications Spawning Wmi Cli Alternate"
|
||||
},
|
||||
@@ -27293,8 +27293,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1204",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1204"
|
||||
],
|
||||
"title": "WMI Execution Via Office Process"
|
||||
},
|
||||
@@ -28567,8 +28567,8 @@
|
||||
"TA0010",
|
||||
"T1020",
|
||||
"detection.threat-hunting",
|
||||
"T1564",
|
||||
"T1114"
|
||||
"T1114",
|
||||
"T1564"
|
||||
],
|
||||
"title": "Mail Forwarding/Redirecting Activity Via ExchangePowerShell Cmdlet"
|
||||
},
|
||||
@@ -28724,8 +28724,8 @@
|
||||
"T1547.001",
|
||||
"detection.threat-hunting",
|
||||
"T1547",
|
||||
"T1027",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1027"
|
||||
],
|
||||
"title": "Registry Set With Crypto-Classes From The \"Cryptography\" PowerShell Namespace"
|
||||
},
|
||||
@@ -29325,8 +29325,8 @@
|
||||
"attack.s0039",
|
||||
"detection.threat-hunting",
|
||||
"T1087",
|
||||
"T1021",
|
||||
"T1069"
|
||||
"T1069",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Net.EXE Execution"
|
||||
},
|
||||
@@ -29418,8 +29418,8 @@
|
||||
"TA0001",
|
||||
"TA0043",
|
||||
"detection.threat-hunting",
|
||||
"T1566",
|
||||
"T1598"
|
||||
"T1598",
|
||||
"T1566"
|
||||
],
|
||||
"title": "HTML File Opened From Download Folder"
|
||||
},
|
||||
@@ -30386,8 +30386,8 @@
|
||||
"TA0005",
|
||||
"T1219.002",
|
||||
"T1036.003",
|
||||
"T1036",
|
||||
"T1219"
|
||||
"T1219",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Remote Access Tool - Renamed MeshAgent Execution - Windows"
|
||||
},
|
||||
@@ -30999,8 +30999,8 @@
|
||||
"T1552.001",
|
||||
"T1555",
|
||||
"T1555.003",
|
||||
"T1548",
|
||||
"T1552"
|
||||
"T1552",
|
||||
"T1548"
|
||||
],
|
||||
"title": "HackTool - WinPwn Execution"
|
||||
},
|
||||
@@ -33164,8 +33164,8 @@
|
||||
"T1587.001",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1587",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1587"
|
||||
],
|
||||
"title": "PUA - CsExec Execution"
|
||||
},
|
||||
@@ -33475,8 +33475,8 @@
|
||||
"TA0005",
|
||||
"T1036.004",
|
||||
"T1036.005",
|
||||
"T1036",
|
||||
"T1053"
|
||||
"T1053",
|
||||
"T1036"
|
||||
],
|
||||
"title": "Scheduled Task Creation Masquerading as System Processes"
|
||||
},
|
||||
@@ -34958,8 +34958,8 @@
|
||||
"T1059.003",
|
||||
"TA0005",
|
||||
"T1027.010",
|
||||
"T1027",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1027"
|
||||
],
|
||||
"title": "Suspicious Usage of For Loop with Recursive Directory Search in CMD"
|
||||
},
|
||||
@@ -36491,8 +36491,8 @@
|
||||
"T1047",
|
||||
"T1204.002",
|
||||
"T1218.010",
|
||||
"T1218",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Suspicious WmiPrvSE Child Process"
|
||||
},
|
||||
@@ -37209,8 +37209,8 @@
|
||||
"T1203",
|
||||
"T1059.003",
|
||||
"attack.g0032",
|
||||
"T1566",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1566"
|
||||
],
|
||||
"title": "Suspicious HWP Sub Processes"
|
||||
},
|
||||
@@ -37432,8 +37432,8 @@
|
||||
"T1218.010",
|
||||
"TA0002",
|
||||
"TA0005",
|
||||
"T1218",
|
||||
"T1204"
|
||||
"T1204",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Suspicious WMIC Execution Via Office Process"
|
||||
},
|
||||
@@ -37957,8 +37957,8 @@
|
||||
"TA0002",
|
||||
"T1059.007",
|
||||
"cve.2020-1599",
|
||||
"T1059",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1059"
|
||||
],
|
||||
"title": "MSHTA Execution with Suspicious File Extensions"
|
||||
},
|
||||
@@ -38561,8 +38561,8 @@
|
||||
"T1021.004",
|
||||
"TA0011",
|
||||
"T1219",
|
||||
"T1021",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1021"
|
||||
],
|
||||
"title": "OpenEDR Spawning Command Shell"
|
||||
},
|
||||
@@ -38984,8 +38984,8 @@
|
||||
"T1087.002",
|
||||
"T1069.002",
|
||||
"T1482",
|
||||
"T1087",
|
||||
"T1069"
|
||||
"T1069",
|
||||
"T1087"
|
||||
],
|
||||
"title": "Active Directory Database Snapshot Via ADExplorer"
|
||||
},
|
||||
@@ -40604,8 +40604,8 @@
|
||||
"T1570",
|
||||
"TA0002",
|
||||
"T1569.002",
|
||||
"T1021",
|
||||
"T1569"
|
||||
"T1569",
|
||||
"T1021"
|
||||
],
|
||||
"title": "Rundll32 Execution Without Parameters"
|
||||
},
|
||||
@@ -40810,9 +40810,9 @@
|
||||
"T1218.007",
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1059",
|
||||
"T1218",
|
||||
"T1027",
|
||||
"T1218"
|
||||
"T1059"
|
||||
],
|
||||
"title": "Obfuscated PowerShell MSI Install via WindowsInstaller COM"
|
||||
},
|
||||
@@ -42595,8 +42595,8 @@
|
||||
"T1558.003",
|
||||
"TA0008",
|
||||
"T1550.003",
|
||||
"T1550",
|
||||
"T1558"
|
||||
"T1558",
|
||||
"T1550"
|
||||
],
|
||||
"title": "HackTool - KrbRelayUp Execution"
|
||||
},
|
||||
@@ -42965,8 +42965,8 @@
|
||||
"TA0011",
|
||||
"T1071.004",
|
||||
"T1132.001",
|
||||
"T1048",
|
||||
"T1132",
|
||||
"T1048",
|
||||
"T1071"
|
||||
],
|
||||
"title": "DNS Exfiltration and Tunneling Tools Execution"
|
||||
@@ -43541,8 +43541,8 @@
|
||||
"T1070.001",
|
||||
"T1562.002",
|
||||
"car.2016-04-002",
|
||||
"T1070",
|
||||
"T1562"
|
||||
"T1562",
|
||||
"T1070"
|
||||
],
|
||||
"title": "Suspicious Eventlog Clearing or Configuration Change Activity"
|
||||
},
|
||||
@@ -43567,8 +43567,8 @@
|
||||
"TA0003",
|
||||
"T1053.005",
|
||||
"T1059.001",
|
||||
"T1053",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1053"
|
||||
],
|
||||
"title": "Suspicious Schtasks Execution AppData Folder"
|
||||
},
|
||||
@@ -43615,9 +43615,9 @@
|
||||
"TA0005",
|
||||
"T1218.014",
|
||||
"T1036.002",
|
||||
"T1036",
|
||||
"T1204",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1036"
|
||||
],
|
||||
"title": "MMC Executing Files with Reversed Extensions Using RTLO Abuse"
|
||||
},
|
||||
@@ -43975,8 +43975,8 @@
|
||||
"T1482",
|
||||
"T1069.002",
|
||||
"stp.1u",
|
||||
"T1069",
|
||||
"T1087"
|
||||
"T1087",
|
||||
"T1069"
|
||||
],
|
||||
"title": "PUA - AdFind Suspicious Execution"
|
||||
},
|
||||
@@ -44482,8 +44482,8 @@
|
||||
"TA0008",
|
||||
"T1021.002",
|
||||
"T1218.011",
|
||||
"T1218",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1218"
|
||||
],
|
||||
"title": "Rundll32 UNC Path Execution"
|
||||
},
|
||||
@@ -45153,8 +45153,8 @@
|
||||
"T1562.001",
|
||||
"TA0006",
|
||||
"T1003.001",
|
||||
"T1562",
|
||||
"T1003"
|
||||
"T1003",
|
||||
"T1562"
|
||||
],
|
||||
"title": "PPL Tampering Via WerFaultSecure"
|
||||
},
|
||||
@@ -47073,8 +47073,8 @@
|
||||
"TA0008",
|
||||
"T1059.001",
|
||||
"T1021.006",
|
||||
"T1059",
|
||||
"T1021"
|
||||
"T1021",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Remote PowerShell Session Host Process (WinRM)"
|
||||
},
|
||||
@@ -47760,8 +47760,8 @@
|
||||
"TA0002",
|
||||
"T1059.001",
|
||||
"T1087",
|
||||
"T1059",
|
||||
"T1069"
|
||||
"T1069",
|
||||
"T1059"
|
||||
],
|
||||
"title": "HackTool - Bloodhound/Sharphound Execution"
|
||||
},
|
||||
@@ -48785,8 +48785,8 @@
|
||||
"TA0003",
|
||||
"T1543.003",
|
||||
"T1574.011",
|
||||
"T1543",
|
||||
"T1574"
|
||||
"T1574",
|
||||
"T1543"
|
||||
],
|
||||
"title": "Potential Persistence Attempt Via Existing Service Tampering"
|
||||
},
|
||||
@@ -49119,8 +49119,8 @@
|
||||
"T1059.001",
|
||||
"TA0005",
|
||||
"T1027.005",
|
||||
"T1027",
|
||||
"T1059"
|
||||
"T1059",
|
||||
"T1027"
|
||||
],
|
||||
"title": "HackTool - CrackMapExec PowerShell Obfuscation"
|
||||
},
|
||||
@@ -49443,12 +49443,12 @@
|
||||
"T1547.002",
|
||||
"T1557",
|
||||
"T1082",
|
||||
"T1505",
|
||||
"T1564",
|
||||
"T1547",
|
||||
"T1505",
|
||||
"T1556",
|
||||
"T1574",
|
||||
"T1546",
|
||||
"T1556"
|
||||
"T1547"
|
||||
],
|
||||
"title": "Potential Suspicious Activity Using SeCEdit"
|
||||
},
|
||||
@@ -51326,8 +51326,8 @@
|
||||
"T1059.001",
|
||||
"T1059.003",
|
||||
"T1564.003",
|
||||
"T1059",
|
||||
"T1564"
|
||||
"T1564",
|
||||
"T1059"
|
||||
],
|
||||
"title": "Powershell Executed From Headless ConHost Process"
|
||||
},
|
||||
@@ -52446,8 +52446,8 @@
|
||||
"T1047",
|
||||
"T1204.002",
|
||||
"T1218.010",
|
||||
"T1204",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1204"
|
||||
],
|
||||
"title": "Suspicious Microsoft Office Child Process"
|
||||
},
|
||||
@@ -54031,8 +54031,8 @@
|
||||
"T1106",
|
||||
"T1059.003",
|
||||
"T1218.011",
|
||||
"T1059",
|
||||
"T1218"
|
||||
"T1218",
|
||||
"T1059"
|
||||
],
|
||||
"title": "HackTool - RedMimicry Winnti Playbook Execution"
|
||||
},
|
||||
|
||||
Reference in New Issue
Block a user