高レベルでは、ロジックは以下を検知します：

			●	WinRAR.exeがファイル書き込みを開始

			●	同じベース名のディレクトリとファイルの両方の作成

			●	リネームまたは上書き後に実行可能拡張子が現れる

			●	短い時間枠（2秒未満）内で発生するシーケンス

このパターンは良性のワークフローでは非常にまれですが、エクスプロイトの実行パスの中核です。

			●	このルールは意図的に以下を避けています：

			●	コマンドライン検査

			●	子プロセストラッキング

			●	完全なファイルハッシュ

	理由：プロセス作成テレメトリなしで実際の実行を確認します。
	
	検知ロジック：
	
		Windowsローダー：
		
			●	Invoice.pdf .exeをメモリにマッピング
			
		ETWシグナル：
		
			●	ImageLoad
			
			●	イメージパス：
			
			●	*.pdf\*.pdf .exe	
			
	

以下のテレメトリに基づく汎用検知ルール：

			●	WinRar.exeによるファイル作成イベント
			
			●	WinRar.exeがDLL Shell32.dllをロードし、パラメータ付きでAPI（ShellExecuteExA|W）を使用開始するイメージロードイベント
			
			●	この関数はSHELLEXECUTEINFOという名前の引数を受け取ります。これは構造体で、多くのフィールドがありますが、重要なのはlpVerbとlpFileの2つです。
				
			●	lpVerb - LpVerbをNULLに設定すると、ShellExecuteExA|Wは利用可能なデフォルトの動詞を使用し、ない場合は"open"動詞を実行します。"open"動詞はファイルを開くか実行します。
			
			●	lpFile - lpFileはShellExecuteExAで動詞を実行するために使用されるファイルのパスです。ここで注目すべきは、ファイルパスの末尾にあるスペース文字（0x20）です。
			             
			
注： 
	1- Shell32.dll: ここにShellExecuteExAが定義されています。SHELLEXECUTEINFO構造体を解析し、リクエストの処理方法（文書の開く、EXEの実行、プロパティダイアログの表示など）を決定するロジックが含まれています。
			
	2- 脆弱性の動作方法：脆弱性はここにあります。WinRARは書き込み時にファイル名からスペースを削除しましたが、この変更を展開リストに反映するのを忘れました。そのため、対象ファイル名は変更されず、スペースがファイル名に残っています。また、ShellExecuteExAは"CLASSIFIED_DOCUMENTS.pdf .cmd"ファイルを開きます。ShellExecuteExAにとって".cmd"は重要ではなく、そのパスにある"CLASSIFIED_DOCUMENTS.pdf "という名前のファイルを実行するだけです。
        			
検知ロジック（高忠実度ルールロジック）：

	●	SQL-Based :\\Detection_Logic\\SQL-based-ShellExecute.txt
	
	●	KQL (ProcessCommandLine):\\Detection_Logic\\KQL-API-ProcessCommandLine.txt
	
	●	Pseudocode Detection Logic :\\Detection_Logic\\SQL-API-ShellExecute.txt

注：- 上記の標準に従って検知ロジックを作成できます。また、検知ルール作成に役立つイベントを取得するための簡単なPythonスクリプトも追加しています。ETWベースのルール作成時に有用です。

	 
		| プロバイダ                              | イベントID                                  | イベントID / タスク             |
		                                                                       
		| ------------------------------------- | ----------------------------------------- | --------------------------- |
		                                                                       
		| `Microsoft-Windows-Shell-Core`        | {30336983-0362-4540-9E69-14844E6A3B7A}    | イベントID 1（実行）        |
		
		| `Microsoft-Windows-Kernel-Process`    | {22FB2AD3-E163-4078-8C2A-801648437D2D}    | イメージロード / プロセス開始  |


		
		

	- 理由：名前が文書拡張子で終わるディレクトリから実行ファイルが作成またはロードされ、Explorer/Shell APIを介して実行が開始された場合にアラートを発します。			
	- Pseudocode Detection Logic (High-Fidelity Rule Logic)- \\Detection_Logic\\WinRAR-CVE-2023-38831-Exploitation.txt				

	以下のテレメトリに基づく汎用EDR検知ルール：	 
	
			●	ファイル作成イベント
			
			●	シェル実行 / Explorer呼び出し
			
			●	イメージロードイベント（オプションだが強力）
			
	Detection Logic : \\Detection_Logic\\EDR-Detection-ETW-based.txt
	

		理由：このバージョンはDeviceProcessEventsに依存せずに動作します
		
		Detection Logic : \\Detection_Logic\\KQL-Detection-without-DeviceProcessEvents.txt
		
   

		理由：ファイル作成と関連付けることで信頼性が高まります。
		
		Detection Logic : \\Detection_Logic\\Shell-Execution-Signal.txt	
		

		理由：このルールは攻撃中に発見されたすべてのステップに対して作成されました。
		
		Detection Logic : \\Detection_Logic\\SOC-Friendly.txt
		
		

理由：製品が処理するイベント（アクセス、イベント、クラウドベースなど）に応じてルールを作成します

Detection Logic:\\Detection_Logic\\Gen-Pseudocode-Detection-Logic.txt

	Detection Logic :
	
		EndPonit : \\Detection_Logic\\winrar-spawns-suspicious-child-process.txt
		
		Sigma Rule : \\Detection_Logic\\Sigma-Rule-WinRAR Exploit.txt
			

		| プロバイダ                              | イベントID                    |
		
		| ------------------------------------- | --------------------------- |
		
		| `Microsoft-Windows-Security-Auditing` | 4688（プロセス作成）     |
		

	検知ロジック
	
		●	親プロセス = winrar.exe
		
		●	新しいプロセス = スクリプトエンジンまたは実行ファイル
		
		●	CommandLineにTemp/AppDataが含まれている

		理由：DeviceProcessEventsを使用して開発する場合
		
		Detection Logic : \\Detection_Logic\\KQL-Detection-with-DeviceProcessEvents.txt
		

	以下の条件を満たすことで、IOAまたはウォッチリストルールをアラート用に追加できます。

	| 指標                          | 信頼度 |
	
	| ---------------------------------- | ---------- |
	
	| winrar.exeがcmd/powershellを生成 |  高     |
	
	| Temp/AppDataからの実行        |  高     |
	
	| `.cmd/.bat /.exe `の実行       |  高     |
	
	| 二重拡張子ZIPが開かれた        |  中   |

	正当な可能性が高いトリガー
	
		●	7-Zip/WinRARの自己解凍インストーラによって生成されたcmd.exe
		
		●	RARにパッケージされたエンタープライズソフトウェアアップデータによって起動されたpowershell.exe
		
		●	プリンタードライバーまたはGPUドライバーインストーラによって使用されるrundll32.exe

	除外ロジック（例）
	
		AND NOT (
		  ChildImage IN (cmd.exe, powershell.exe, rundll32.exe)
		  AND
		  CommandLine CONTAINS (
			"setup.exe",
			"install.cmd",
			"driverinstall",
			"vendorupdate"
		  )
		)
			

	これは既知のインストーラ動作を抑制しつつ、エクスプロイト検知を維持します。
	アーカイブファイルテレメトリ（ファイルシステムイベント）— このルールをRAR/ZIP展開アクティビティ（例：実行直前に.cmd/.bat/.exeが作成され、特にWinRARの展開ディレクトリ（Rar$EX*など）から発生）と関連付けることで、実行がアーカイブ展開に直接続いていることを証明し、信頼性を大幅に高め、誤検知を減らすことができます。
	
	

	T1204.002 – User Execution: Malicious File
	T1059 – Command and Scripting Interpreter
	T1036 – Masquerading (double extension)

この検知コードは教育目的および許可されたテスト目的のみに使用します。  
所有していない、または明示的なテスト許可がないシステムでは使用しないでください。