PsExec 도구를 이용하여 원격으로 윈도우 서비스를 설치하는 경우 탐지합니다.
개요
| 중요도 | 상 |
|---|---|
| 유형 | 실시간 탐지 |
| 로그 스키마 | winevent |
| 메시지 | PsExec 원격 실행: $host_ip |
| 출력 필드 순서 | _log_time, host_ip, computer, user, provider, event_id, record_id, svc_name, line |
| MITRE 기술 | T1569.002 System Services: Service Execution |
| MITRE 전술 | TA0002 Execution |
쿼리
1| search event_id == "7036"
2| eval svc_name = xpath(xml, "//Event/EventData/Data[@Name='param1']/text()")
3| eval state = xpath(xml, "//Event/EventData/Data[@Name='param2']/text()")
4| search svc_name == "PSEXESVC"
위협 분석
- 공격자는 대상 윈도우 시스템에 윈도우 서비스를 설치하여 악성 행위를 실행할 수 있습니다.
- PsExec는 서비스 제어 관리자 API를 사용하여 원격 시스템에 임시로 윈도우 서비스를 생성하고 임의 명령을 실행한 후 서비스를 삭제합니다.
오탐 유형
- 시스템 관리자가 업무 자동화 목적으로 PsExec 도구를 사용하는 경우에도 탐지될 수 있습니다.