Règle Exec PowerShell v1 as admin on DC

[mateopc]

Cette règle est censé détecter lorsqu'un programme spécifique est exécuté.

Programmes utilisés à détecter :

• PowerShell v1
• Mimikatz
• LOLbins

[mateopc]

1st iteration :

index= CommandLine=\powershell.exe OR CommandLine=*\powershell.exe\" | stats count by host

[mateopc]

index= ((Image="powershell.exe" OR Image="*pwsh.exe") AND ProcessCommandLine="-Elevated") AND (ProcessCreationUid=0x0 OR ProcessCreationUid=0x1) host=DC01