این قانون اجرای فرآیند notepad.exe را در حالتی که هیچ آرگومانی (مانند مسیر فایل) در خط فرمان آن وجود ندارد، شناسایی میکند. اگرچه اجرای Notepad خالی توسط کاربر (از طریق Run یا منوی استارت) ممکن است، اما مهاجمان اغلب از این برنامه برای تکنیکهایی مانند تزریق کد (Process Injection) یا خالی کردن فرآیند (Process Hollowing) استفاده میکنند.
در این تکنیک، بدافزار پروسه Notepad را اجرا کرده، کد اصلی آن را از حافظه خارج میکند و کد مخرب خود را جایگزین میکند تا در پسزمینه و با ظاهری قانونی اجرا شود.
powershell.exe, cmd.exe یا فایلهای آفیس (winword.exe).services.exe یا svchost.exe.explorer.exe است).برای تشخیص واقعی بودن تهدید، موارد زیر را بررسی کنید:
explorer.exe باشد، احتمالاً امن است. اگر winword.exe یا powershell.exe باشد، خطرناک است.cmd.exe) را اجرا کرده است؟هنگام تحلیل لاگهای سیستمی در Splunk، این فیلدها حیاتی هستند: