-
Registry-Run-Keys und Autostart erkennen: Persistenz über die Windows-Startmechanismen
Run-Schlüssel und Autostart-Ordner sind der häufigste Weg zur Persistenz. Drei sigma-cli-validierte Sigma-Regeln für das Schreiben eines Run-Keys, den verdächtigen Wert und die Datei im Autostart-Ordner.
-
LNK-Ausführung erkennen: präparierte Verknüpfungen als Einfallstor
Eine getarnte .lnk mit versteckter PowerShell als Ziel - der klassische Phishing-Weg zur Codeausführung, plus Persistenz über den Autostart. Drei sigma-cli-validierte Sigma-Regeln für Elternkette, Kommandozeile und Startup-Ordner.
-
Regsvr32 und Rundll32 erkennen: Codeausführung über signierte Windows-Programme
regsvr32 und rundll32 sind signierte LOLBins für die Proxy-Ausführung - Squiblydoo und Inline-Skripte. Drei sigma-cli-validierte Sigma-Regeln für Kommandozeile und Eltern-/Kindkette.
-
MSHTA und HTA erkennen: Codeausführung über ein signiertes Windows-Programm
mshta.exe ist ein signiertes Windows-Programm, das HTA-Dateien mit Skript ausführt - und ein beliebtes LOLBin. Drei sigma-cli-validierte Sigma-Regeln für Kommandozeile, Kindprozess und Elternkette.
-
Dienst-Erstellung und PsExec erkennen: Ausführung über Windows-Dienste
Ein Windows-Dienst läuft als SYSTEM - der klassische Ausführungsweg von PsExec und Co. Drei sigma-cli-validierte Sigma-Regeln für Event 7045, services.exe als Shell-Starter und den PsExec-Dienst PSEXESVC.
-
WMI-Ausführung erkennen: Code über Windows Management Instrumentation
WMI führt Code ohne Datei aus, lokal wie aus der Ferne, getarnt als Systemprozess. Der Anker ist ein Kindprozess unter WmiPrvSE.exe. Drei sigma-cli-validierte Sigma-Regeln für WmiPrvSE, wmic und…
-
Geplante Aufgaben erkennen: Ausführung über den Windows-Taskplaner
Die geplante Aufgabe vereint Ausführung, Persistenz und Rechteausweitung - und geht im Taskplaner-Alltag leicht unter. Drei sigma-cli-validierte Sigma-Regeln für Fernanlage, verdächtige Aktion und Event 4698.
-
SSH für Lateral Movement erkennen: der Pfad durch gemischte Umgebungen
SSH verbindet Windows, Linux und Netzwerkgeräte - und ist der Lateral-Movement-Pfad, der Windows-fokussierten Teams entgeht. Drei sigma-cli-validierte Sigma-Regeln für eingehende Sitzung, authorized_keys und Tunnel.
-
RDP-Session-Hijacking erkennen: eine fremde Sitzung übernehmen
Beim Session-Hijacking kapert ein Angreifer mit SYSTEM-Rechten über tscon eine fremde RDP-Sitzung - ohne Passwort. Drei sigma-cli-validierte Sigma-Regeln auf tscon, den Dienst-Trick und die Enumeration, mit Härtung und…
-
DCOM-Fernausführung erkennen: seitliche Bewegung über COM-Objekte
DCOM ist der leise Weg der seitlichen Bewegung: ein COM-Objekt aus der Ferne instanziieren und Code starten, ohne neuen Dienst. Das Signal ist ein COM-Wirt, der eine Shell…