LOLBin Msiexec
This query detects the use of Msiexec.exe.
EDRhuntingT1218.007
FDR intermediatepor ByteRay GmbH (cql-hub.com) 1 min read
Query
in(#event_simpleName, values=["ProcessRollup2","ProcessBlocked"])
| event_platform=Win and ImageFileName=/msiexec.exe/i and CommandLine=/http/iExplicación
Importado desde cql-hub.com. Agrega explicación de pipes aquí.
Variables a ajustar
Revisa y ajusta los valores según tu entorno.