Komut çalıştıran zamanlanmış görevler
Zamanlanmış görev bir programı belirli bir saatte, açılışta ya da oturum açılışında, onu oluşturanın belirttiği hesapla başlatır. Kayıtlarda saldırgan schtasks.exe ile üç görev oluşturdu: ikisi PowerShell'i her gün ya da oturum açılışında başlatıyor, biri SYSTEM olarak; üçüncüsü başka bir makinede bir Microsoft klasör adı altında oluşturuldu. Temiz Windows 10 istemcisindeki Microsoft Office da kendi görevlerini schtasks.exe ile oluşturuyor, siliyor ve değiştiriyor. Saldırganın oluşturduğu üç görevi bulun.
İpucu 1
/Create ile birlikte /TR parametresi görevin çalıştıracağı komutu verir. Office görevlerini bunun yerine /XML ile bir XML dosyasından oluşturuyor.
İpucu 2
schtasks.exe parametreleri her harf büyüklüğünde kabul eder; Sigma'daki contains de büyük küçük harf ayırmaz.
Kural bu tarayıcıda çalışır; geri döndüğünüzde bulmanız için burada saklanır.
Olaylar
2.442 olay. Arama yalnızca tabloyu süzer, sonucu etkilemez.