Référentiel des Event ID Windows 25 - Sysmon: Processus qui falsifie sa création

Référentiel interactif de 358 Event ID Windows : 4624, 4625, 4688, 4698, 7045 et plus pour l'analyse forensique.

Analyse forensique
Références et portails
Gratuit

À propos

Référentiel des Event ID Windows 25 - Sysmon: Processus qui falsifie sa création

Référentiel de 358 Event ID Windows pour l'analyse forensique et la chasse aux menaces (threat hunting) : journal Security, Sysmon, PowerShell, Defender, AD DS, AD CS, BitLocker… Chaque fiche explique ce que l'événement révèle en investigation, illustre un scénario d'attaque et indique les techniques MITRE ATT&CK associées.

Ce que fait l’outil

358 Event ID répartis en 23 catégories, Sysmon inclus
Recherche par ID, titre ou mot-clé
Filtres par catégorie et par tactique MITRE ATT&CK
Fiche par événement : journal source, contexte forensique, exemple d'attaque, mapping MITRE
Onglet dédié aux attributs Active Directory

Questions fréquentes

Que signifie l'Event ID 25 ?

Sysmon: Processus qui falsifie sa création. Détecte les attaques de type "Process Herpaderping", où un malware est lancé sur le disque mais apparaît comme un autre processus en mémoire.

Dans quel journal trouver l'Event ID 25 ?

Dans le journal « Microsoft-Windows-Sysmon/Operational », consultable avec l'Observateur d'événements, Get-WinEvent ou votre SIEM.

Pourquoi l'Event ID 25 compte-t-il en investigation ?

Technique d'évasion avancée pour faire passer un processus malveillant pour un processus légitime, déjouant ainsi les antivirus basés sur les signatures de fichiers.

À quoi ressemble un cas concret pour l'Event ID 25 ?

malware.exe est lancé, mais Sysmon montre que le processus en mémoire correspond à svchost.exe.

À quelles techniques MITRE ATT&CK l'Event ID 25 est-il lié ?

TA0005, T1055.

25Microsoft-Windows-Sysmon/OperationalSysmon - Fichier & RegistreSysmon: Processus qui falsifie sa créationDétecte les attaques de type "Process Herpaderping", où un malware est lancé sur le disque mais apparaît comme un autre processus en mémoire.

Sysmon: Processus qui falsifie sa création