↓
  
WinRAR zeigt Tarn-Datei an

  ↓
  
Benutzer doppelklickt auf Dokument

  ↓
  
WinRAR extrahiert Verzeichnis mit demselben Namen
  ↓
  
Ausführbare Datei geschrieben nach *.pdf\*.pdf .exe
  ↓
  
ShellExecute über Explorer
  ↓
  
ImageLoad der ausführbaren Datei

  ↓
  
Payload-Ausführung

●	Keine Makro-Nutzung

●	Keine Abhängigkeit von Prozesserzeugung

●	Exploit basiert auf Dateisystem-Tarnung

●	Hochzuverlässiges, rauscharmes Signal

Auf hoher Ebene erkennt die Logik:

			●	WinRAR.exe initiiert Dateischreibvorgänge

			●	Erstellung eines Verzeichnisses und einer Datei mit demselben Basisnamen

			●	Ausführbare Erweiterung nach Umbenennung oder Überschreibung

			●	Sequenz innerhalb eines engen Zeitfensters (<2s)

Dieses Muster ist in gutartigen Arbeitsabläufen äußerst selten, aber zentral für den Ausführungspfad des Exploits.

			●	Die Regel vermeidet absichtlich:

			●	Befehlszeileninspektion

			●	Verfolgung untergeordneter Prozesse

			●	Vollständiges Hashing der Datei

	Grund: Dies bestätigt die tatsächliche Ausführung ohne Telemetrie zur Prozesserstellung.
	
	Erkennungslogik:
	
		Windows-Lader:
		
			●	Bildet Invoice.pdf .exe in den Speicher ab
			
		ETW-Signal:
		
			●	ImageLoad
			
			●	Bildpfad:
			
			●	*.pdf\*.pdf .exe	
			
	

Allgemeine Erkennungsregel basierend auf folgender Telemetrie:

			●	Dateierstellungsereignisse durch WinRar.exe
			
			●	Image-Load-Ereignisse, wenn WinRar.exe eine DLL Shell32.dll lädt und eine API (ShellExecuteExA|W) mit den Parametern verwendet.
			
			●	Diese Funktion erhält lediglich ein Argument namens SHELLEXECUTEINFO, eine Struktur. Wie Sie sehen, hat diese Struktur viele Felder, aber zwei sind für uns wichtig: lpVerb und lpFile.
				
			●	lpVerb: Wenn Sie LpVerb auf NULL setzen, verwendet ShellExecuteExA|W das Standardverb, falls verfügbar, andernfalls wird das Verb „open“ ausgeführt. Das Verb „open“ öffnet oder führt die Datei aus.
			
			●	lpFile: lpFile ist der Pfad der Datei, die in ShellExecuteExA verwendet wird, um das Verb auszuführen. Beachten Sie das Leerzeichen (0x20) am Ende des Dateipfads.
			             
			
Hinweis: 
	1- Shell32.dll: Hier ist ShellExecuteExA definiert. Es enthält die Logik zum Parsen der SHELLEXECUTEINFO-Struktur und zur Bestimmung, wie die Anforderung verarbeitet werden soll (z. B. Öffnen eines Dokuments, Ausführen einer EXE oder Anzeigen eines Eigenschaften-Dialogs).
			
	2- So funktioniert die Schwachstelle: Die Schwachstelle liegt hier. WinRAR hat beim Schreiben das Leerzeichen aus dem Dateinamen entfernt, aber vergessen, diese Änderung in die Extraktionsliste zu übernehmen. Der Zieldateiname änderte sich also nicht und das Leerzeichen ist immer noch im Dateinamen enthalten. Man kann auch sagen, dass ShellExecuteExA die Datei „CLASSIFIED_DOCUMENTS.pdf .cmd“ öffnet. Die Erweiterung „.cmd“ spielt für ShellExecuteExA keine Rolle; es führt einfach eine Datei mit dem Namen „CLASSIFIED_DOCUMENTS.pdf “ in diesem Pfad aus.
        			
Erkennungslogik (hochgenaue Regellogik):

	●	SQL-Based :\\Detection_Logic\\SQL-based-ShellExecute.txt
	
	●	KQL (ProcessCommandLine):\\Detection_Logic\\KQL-API-ProcessCommandLine.txt
	
	●	Pseudocode Detection Logic :\\Detection_Logic\\SQL-API-ShellExecute.txt

Hinweis: Sie können gemäß den obigen Standards eine Erkennungslogik erstellen. Ich füge auch ein einfaches Python-Skript bei, um Ereignisse zu erhalten, die beim Schreiben Ihrer Erkennungsregel hilfreich sind. Ebenfalls nützlich beim Erstellen einer ETW-basierten Regel.

	 
		| Anbieter                              | Ereignis-ID                                  | Ereignis-ID / Aufgabe             |
		                                                                       
		| ------------------------------------- | ----------------------------------------- | --------------------------- |
		                                                                       
		| `Microsoft-Windows-Shell-Core`        | {30336983-0362-4540-9E69-14844E6A3B7A}    | Ereignis-ID 1 (Ausführen)        |
		
		| `Microsoft-Windows-Kernel-Process`    | {22FB2AD3-E163-4078-8C2A-801648437D2D}    | Image Load / Prozessstart  |


		
		

	- Grund: Warnung, wenn eine ausführbare Datei aus einem Verzeichnis erstellt oder geladen wird, dessen Name mit einer Dokumenterweiterung endet, und die Ausführung über Explorer/Shell-APIs initiiert wird.			
	- Pseudocode Detection Logic (High-Fidelity Rule Logic)- \\Detection_Logic\\WinRAR-CVE-2023-38831-Exploitation.txt				

	Allgemeine EDR-Erkennungsregel basierend auf folgender Telemetrie:	 
	
			●	Dateierstellungsereignisse
			
			●	Shell-Ausführung / Explorer-Aufruf
			
			●	Image-Load-Ereignisse (optional, aber aussagekräftig)
			
	Erkennungslogik : \\Detection_Logic\\EDR-Detection-ETW-based.txt
	

		Grund: Diese Version funktioniert ohne Abhängigkeit von DeviceProcessEvents.
		
		Erkennungslogik : \\Detection_Logic\\KQL-Detection-without-DeviceProcessEvents.txt
		
   

		Grund: Dies erhöht die Zuverlässigkeit in Verbindung mit Dateierstellung.
		
		Erkennungslogik : \\Detection_Logic\\Shell-Execution-Signal.txt	
		

		Grund: Diese Regel wurde für jeden während eines Angriffs entdeckten Schritt erstellt.
		
		Erkennungslogik : \\Detection_Logic\\SOC-Friendly.txt
		
		

Grund: Erstellen Sie Regeln basierend auf den Ereignissen, die Ihr Produkt verarbeitet, wie Zugriff, Ereignis oder cloudbasiert.

Erkennungslogik:\\Detection_Logic\\Gen-Pseudocode-Detection-Logic.txt

	Erkennungslogik:
	
		EndPonit : \\Detection_Logic\\winrar-spawns-suspicious-child-process.txt
		
		Sigma Rule : \\Detection_Logic\\Sigma-Rule-WinRAR Exploit.txt
			

		| Anbieter                              | Ereignis-ID                    |
		
		| ------------------------------------- | --------------------------- |
		
		| `Microsoft-Windows-Security-Auditing` | 4688 (Prozesserstellung)     |
		

	Erkennungslogik
	
		●	Übergeordneter Prozess = winrar.exe
		
		●	Neuer Prozess = Skript-Engine oder ausführbare Datei
		
		●	CommandLine enthält Temp/AppData

		Grund: Falls wir unter Verwendung von DeviceProcessEvents entwickeln möchten.
		
		Erkennungslogik : \\Detection_Logic\\KQL-Detection-with-DeviceProcessEvents.txt
		

	Durch die Einhaltung der nachstehenden Bedingungen können Sie eine IOA- oder Watchlist-Regel zur Warnung hinzufügen.

	| Indikator                          | Vertrauensstufe |
	
	| ---------------------------------- | --------------- |
	
	| winrar.exe erzeugt cmd/powershell |  Hoch          |
	
	| Ausführung von Temp/AppData        |  Hoch          |
	
	| Ausführung von `.cmd/.bat/.exe `    |  Hoch          |
	
	| Doppelerweiterungs-ZIP geöffnet    |  Mittel        |

	Wahrscheinlich legitime Auslöser
	
		●	cmd.exe, erzeugt von 7-Zip/WinRAR-selbstextrahierenden Installationsprogrammen
		
		●	powershell.exe, gestartet von in RAR verpackten Unternehmenssoftware-Updateprogrammen
		
		●	rundll32.exe, verwendet von Druckertreiber- oder GPU-Treiber-Installationsprogrammen

	Ausschlusslogik (Beispiel)
	
		AND NOT (
		  ChildImage IN (cmd.exe, powershell.exe, rundll32.exe)
		  AND
		  CommandLine CONTAINS (
			"setup.exe",
			"install.cmd",
			"driverinstall",
			"vendorupdate"
		  )
		)
			

	Dies bewahrt die Erkennung von Exploits und unterdrückt gleichzeitig bekanntes Installationsverhalten.
	Archivdatei-Telemetrie (Dateisystemereignisse) – Die Korrelation dieser Regel mit RAR/ZIP-Extraktionsaktivitäten (z. B. Dateierstellung von .cmd/.bat/.exe unmittelbar vor der Ausführung, insbesondere aus WinRAR-Extraktionsverzeichnissen wie Rar$EX*) würde die Zuverlässigkeit erheblich erhöhen und Fehlalarme reduzieren, indem nachgewiesen wird, dass die Ausführung direkt auf die Archiv-Extraktion folgte.
	
	

	T1204.002 – Benutzerausführung: bösartige Datei
	T1059 – Befehls- und Skriptinterpreter
	T1036 – Tarnung (Doppelerweiterung)

Dieser Erkennungscode dient nur zu Bildungs- und autorisierten Testzwecken.  
Verwenden Sie ihn nicht auf Systemen, die Sie nicht besitzen oder für die Sie keine ausdrückliche Genehmigung zum Testen haben.