این قانون فایلهایی را شناسایی میکند که نام فایل اجرایی آنها روی دیسک (process_name) با نام اصلی فایل (original_file_name) که در فرادادههای فایل ثبت شده، متفاوت است. این بررسی به طور خاص بر روی ابزارهای LOLBAS تمرکز دارد که در مسیرهای غیر استاندارد اجرا میشوند. مهاجمان برای فرار از تشخیص سیستمهای امنیتی که بر اساس نام فایل کار میکنند، ابزارهای سیستمی (مانند certutil.exe) را کپی کرده و با نامی بیخطر (مانند notepad.exe) اجرا میکنند.
تغییر نام ابزارهای سیستمی یکی از روشهای کلاسیک برای پنهان کردن فعالیتهای مخرب از دید تحلیلگران و ابزارهای مانیتورینگ ساده است.
update.exe یا downloader.exe اجرا شده که در اصل certutil.exe است و برای دانلود بدافزار استفاده میشود.%TEMP%) اجرا میشوند.powershell.exe به svchost.exe برای فریب دادن ادمین در Task Manager.PsExec یا wmic با نام تغییر یافته برای حرکت جانبی در شبکه.MSBuild.exe) را در پروژههای خود کپی و تغییر نام میدهند.برای تشخیص واقعی بودن تهدید، موارد زیر را بررسی کنید:
original_file_name برابر با cmd.exe یا powershell.exe باشد اما نام فایل اجرایی چیز دیگری باشد، نفوذ بسیار محتمل است.rundll32, regsvr32, installutil).Users یا ProgramData بسیار مشکوک است).OriginalFileName باید در لاگها فعال باشد.هنگام تحلیل لاگهای سیستمی، این فیلدها حیاتی هستند: