Детект закрепления с помощью механизма Application Shim

Security-Experts-Community / open-xp-rules

Открытый репозиторий с правилами на языке eXtraction and Processing (XP)

Apache License 2.0

20 stars 44 forks source link

Детект закрепления с помощью механизма Application Shim #425

Closed driverenok closed 3 months ago

driverenok commented 4 months ago

Resolves #184

Правило срабатывает на основе двух событий:

запуск процесса (с расширенным токеном) sdbinst.exe;
модификации одного из двух разделов реестра:

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\Custom\
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\AppCompatFlags\InstalledSDB\

Ресерч