mrezqi/cve-2021-1675_carbonblack_huntingqueryCarbonBlack 헌팅 쿼리로, 파일, 모듈 로드 및 프로세스 이벤트를 통해 PrintNightmare(CVE-2021-1675) 악용을 탐지하며, Sigma 규칙을 기반으로 합니다.
#1 POC 코드 탐지용 Sigma 규칙 기반
filemod_name:c\:\\windows\\system32\\spool\\drivers\\x64\\3\\old\\1\\123
#2 POC 코드 탐지용 Sigma 규칙 기반
(modload_name:c\:\\windows\\system32\\spool\\drivers\\x64\\3* OR modload_name:c\:\\windows\\system32\\spool\\drivers\\x64\\3\\old*) AND parent_cmdline:spoolsv\.exe
#3 POC 코드 탐지용 Sigma 규칙 기반
(modload_name:c\:\\windows\\system32\\spool\\drivers\\x64\\3* OR modload_name:c\:\\windows\\system32\\spool\\drivers\\x64\\3\\old*) AND process_name:spoolsv\.exe
#4 파일 이벤트 탐지(서명되지 않음), 기준에 맞게 조정하십시오. 악용 및 사후 악용이 아직 명확하지 않아 의도적으로 드라이버 경로를 지정하지 않았습니다. 기준(알려진 해시 등)에 맞게 조정하십시오.
process_name:spoolsv\.exe AND NOT filemod_publisher_state:FILE_SIGNATURE_STATE_SIGNED
#5 파일 이벤트 탐지(MS 외 서명됨), 기준에 맞게 조정하십시오
process_name:spoolsv\.exe AND filemod_publisher_state:FILE_SIGNATURE_STATE_SIGNED AND NOT filemod_publisher:"Microsoft Windows*"
parent_name:spoolsv\.exe AND childproc_name:werfault\.exe