این قانون به دنبال شناسایی رفتاری است که در آن پردازش cmd.exe به عنوان یک "سکوی پرتاب" (Launcher) برای اجرای مفسرهای اسکریپت مانند cscript.exe یا wscript.exe عمل میکند. در حالت عادی، ادمینها مستقیماً از خود مفسر استفاده میکنند و نیازی به فراخوانی آن از داخل CMD ندارند.
مهاجمان از این روش برای "شکستن زنجیره والد" (Parent Process Chain Breaking) و پنهان کردن منبع اصلی حمله استفاده میکنند.
cscript.exe یا wscript.exe توسط CMD برای اجرای فایلهای اسکریپت از مسیرهای موقت (Temp/Downloads).cmd.exe یک مرورگر (Chrome) یا آفیس (Word/Excel) باشد، نشاندهنده قطعی حمله Drive-by یا Macro Malware است.cmd.exe /c روی سیستم هدف تزریق میکنند.%comspec%) یا کاراکترهای خاص (`^`) برای فریب آنتیویروس..bat در شبکه دامین که برای تنظیم پرینترها یا درایوها، اسکریپتهای VBS را صدا میزنند.winword.exe، iexplore.exe یا outlook.exe باشد، سیستم آلوده شده است.System32 است یا پوشههای کاربری مثل AppData/Local/Temp؟برای شکار تهدیدات در Splunk یا EDR، این فیلدها را فیلتر و بررسی کنید: