Descripción de la Tecnica
CS Query: New QUERies es una técnica relacionada con el grupo attack-pattern dentro del framework MITRE ATT&CK. Esta técnica está asociada al módulo CrowdStrike Falcon Discovery Query, que se utiliza para detectar actividades maliciosas mediante la análisis de consultas y comportamientos anómalos en sistemas operativos o aplicaciones.
Como Funciona
La técnica implica el uso de consultas específicas (QUERies) para identificar eventos sospechosos, como accesos no autorizados a datos críticos, actividades de extracción de información o comportamientos atípicos en entornos de computación. En el contexto de CrowdStrike Falcon, estas consultas ayudan a detectar amenazas mediante la comparación con patrones conocidos y análisis de comportamiento.
Actores que la Utilizan
Esta técnica es utilizada por diversos actores cybermaliciosos, incluyendo grupos APT (Advanced Persistent Threats), ransomware y otros ciberataques orientados a la investigación y detección de amenazas. No se especifican actores particulares en el contexto proporcionado.
Detección
La técnica se integra en soluciones de detección como CrowdStrike Falcon, que monitorea eventos y consultas para identificar actividades anómalas. Los sistemas de seguridad modernos utilizan reglas basadas en comportamiento (behavioral rules) para detectar patrones sospechosos asociados a esta técnica.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso públicos disponibles.
Mitigación
Para mitigar riesgos asociados con esta técnica, se recomienda: 1. Implementar soluciones de seguridad avanzadas como CrowdStrike Falcon para monitoreo proactivo. 2. Actualizar regularmente sistemas y aplicaciones para cerrar vulnerabilidades. 3. Monitorear registros de sistema y actividades de consulta con herramientas especializadas. 4. Capacitar a los equipos de seguridad en la identificación de patrones maliciosos.
Query CrowdStrike Falcon
Consulta copiable para CrowdStrike Falcon LogScale/Event Search. Ajusta campos segun tu tenant y version de sensor.
#event_simpleName=/ProcessRollup2|CommandHistory|ScriptControlScanInfo|NetworkConnectIP4/
| CommandLine=/(powershell|cmd\.exe|mshta|wscript|cscript|rundll32|regsvr32|certutil|bitsadmin|curl|wget|net\s+use|\\webdav)/i
| table([@timestamp, ComputerName, UserName, ParentBaseFileName, ImageFileName, CommandLine, SHA256HashData, RemoteAddressIP4])
| sort(@timestamp, order=desc)
FQL pivots
event_simpleName:ProcessRollup2 CommandLine:powershell
event_simpleName:CommandHistory CommandLine:certutil
event_simpleName:NetworkConnectIP4 RemoteAddressIP4:*