PsExec 도구를 이용하여 원격으로 윈도우 서비스를 설치하는 경우 탐지합니다.
Overview
| Priority | High |
|---|---|
| Type | Stream |
| Log schema | winevent |
| Message | PsExec 원격 실행: $host_ip |
| Output field order | _log_time, host_ip, computer, user, provider, event_id, record_id, svc_name, line |
| MITRE Techniques | T1569.002 System Services: Service Execution |
| MITRE tactics | TA0002 Execution |
Query
1| search event_id == "7036"
2| eval svc_name = xpath(xml, "//Event/EventData/Data[@Name='param1']/text()")
3| eval state = xpath(xml, "//Event/EventData/Data[@Name='param2']/text()")
4| search svc_name == "PSEXESVC"
Threat analysis
- 공격자는 대상 윈도우 시스템에 윈도우 서비스를 설치하여 악성 행위를 실행할 수 있습니다.
- PsExec는 서비스 제어 관리자 API를 사용하여 원격 시스템에 임시로 윈도우 서비스를 생성하고 임의 명령을 실행한 후 서비스를 삭제합니다.
False positives
- 시스템 관리자가 업무 자동화 목적으로 PsExec 도구를 사용하는 경우에도 탐지될 수 있습니다.