↳ Source GitHubRègle analytiqueMedium
NRT Base64 Encoded Windows Process Command-lines
Description
'This detection identifies instances of a base64 encoded PE file header seen in the process command line parameter.'
- Type de règle
- NRT
- Version
- 1.0.2
- Statut déclaré
- Available
Couverture MITRE déclarée
Sources déclarées
Métadonnées du fichier source. Aucune dépendance déduite du KQL.
Connecteurs
Types de données
Requête KQL
Requête originale, sans modification.
SecurityEvent
| where EventID == 4688
| where isnotempty(CommandLine)
| where CommandLine contains "TVqQAAMAAAAEAAA"
| extend HostName = tostring(split(Computer, '.', 0)[0]), DnsDomain = tostring(strcat_array(array_slice(split(Computer, '.'), 1, -1), '.'))
Entités déclarées
Contenus associés
Liens établis à partir des identifiants déclarés et des manifests des solutions.
Traçabilité de la source
GitHubLes valeurs affichées proviennent des fichiers du dépôt Azure/Azure-Sentinel. Elles décrivent le modèle publié, pas la configuration de votre workspace.
- Commit
9800e51↗- Identifiant source
c3e5dbaa-a540-408c-8b36-68bdfb3df088
GSTEP / SUIVI DU CATALOGUE
Ajouté au catalogue : 16 sept. 2026 · 05:49 UTC
Dernier changement observé : 16 sept. 2026 · 05:49 UTC