mshta ile script kodu çalıştırma
mshta.exe, Windows'ta HTML uygulamalarını çalıştıran programdır. Burada script kodu çalıştırmak için üç kez başlatıldı: satır içi VBScript, uzaktaki bir scriptlet'i yükleyen satır içi JavaScript ve yerel bir HTA dosyası. Logda aynı makinelerde başlayan diğer tüm süreçler ve temiz bir Windows 10 istemcisinden 2.215 süreç başlangıcı da var. Üç mshta başlangıcını bulan bir kural yazın.
İpucu 1
Üç komut satırının script'i mshta'ya nasıl verdiğine bakın. Ortak noktaları ne?
İpucu 2
mshta'nın başlattığı süreçler aynı zincirin parçası; onları yakalamak false positive sayılmaz.
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.230 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.