Consider Nizlo indicators in Windows RMM Tool Execution detection

Abierto Apto para principiantes
  • ¿Algo no está bien?
#4,401 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
2/5
Tiempo estimado
1-3 horas
Aptitud para principiantes
65/100
Tipo de issue
Nueva funcionalidad
Claridad
Bien especificado
Estado de actividad
Activo
Stack tecnológico
python
Área
security

Línea de trabajo

Lee detections/endpoint/windows_rmm_tool_execution.yml y revisa los identificadores de RMM existentes y las indicaciones sobre falsos positivos. Compara los identificadores de empresa e imagen propuestos con las fuentes de indicadores de Nizlo enlazadas y, después, sigue el flujo de trabajo del acuerdo de contribución y de validación del repositorio. Se considera terminado cuando la analítica contiene la actualización acotada de identificadores acordada y conserva sus límites actuales para los falsos positivos.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

Suggested narrow update

Would you consider adding Nizlo's current Windows RMM identifiers to detections/endpoint/windows_rmm_tool_execution.yml?

The existing analytic already treats legitimate RMM execution as contextual evidence and warns about normal IT use. Nizlo is legitimate remote monitoring and management software, so a match should retain that same false-positive boundary and should not imply compromise by itself.

Source-backed identifiers:

  • Company: Cloud 84 Holdings, LLC (a bounded match such as Cloud 84 Holdings*)
  • Image: Nizlo.Agent.exe
  • Image: Nizlo.Agent.Updater.exe
  • Image: Nizlo.RemoteBridge.exe

Evidence:

The guide and CSV document the normal install locations and explicitly recommend correlating any hit with signer validity, path, authorization, parent process, command line, and surrounding activity. The current Windows installer is Authenticode-signed by CLOUD 84 HOLDINGS, LLC.

I am affiliated with Nizlo and am proposing this for defensive coverage, not as evidence that Nizlo is malicious. If the maintainers agree the scope belongs in this analytic, I can prepare the minimal YAML/version/date/reference update after satisfying Splunk's contributor-agreement requirement and the repository's validation workflow.

Lenguaje dominante
Python
Estrellas
1.7k
Forks
505
Merge medio
3 d 17 h
PR fusionados (30 d)
39

Preparar el entorno

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de splunk/security_content

Todos los issues de splunk/security_content

Issues similares

Más issues de Python

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.