LOLBin WMIC
This query detects the use of WMIC.
EDRhuntingT1218T1105T1564.004
FDR intermediatepor ByteRay GmbH (cql-hub.com) 1 min read
Query
in(#event_simpleName, values=["ProcessRollup2","ProcessBlocked"])
| event_platform=Win and ImageFileName=/wmic.exe/iExplicación
Importado desde cql-hub.com. Agrega explicación de pipes aquí.
Variables a ajustar
Revisa y ajusta los valores según tu entorno.