来自 Elastic Security Labs 威胁指挥部的主要威胁研究
我们并行测试了两种代理 SOC 架构，共进行了 36,822 次真实的 Agent Builder 对话。其中一项胜出 5.7 倍：专门的工作流程，可将警报分类，每个警报收费 0.69 美元，而单个代理处理 14 技能则收费 3.42 美元。数据和决策框架如下所示。
精选
探测工程
查看全部
Elastic InfoSec 的智能安全运营中心内部运作：何时将智能体的技能整合到系统中以实现 5 倍的成本降低
我们并行测试了两种代理 SOC 架构，共进行了 36,822 次真实的 Agent Builder 对话。其中一项胜出 5.7 倍：专门的工作流程，可将警报分类，每个警报收费 0.69 美元，而单个代理处理 14 技能则收费 3.42 美元。数据和决策框架如下所示。
Elasticsearch ES|QL COMPLETION 如何将嘈杂的 curl 和 wget 规则转化为高保真云安全警报
Elastic InfoSec 在自己的云集群上测试了这种检测规则模式，使用确定性逻辑和 LLM 分类过滤嘈杂的 curl 和 wget 事件，以便只有真正的威胁才能到达分析师。
wp2shell 攻击 WordPress：检测到从插件投放到命令执行的未授权远程代码执行
我们使用 Elastic Defend 对 wp2shell WordPress RCE 攻击链进行了端到端测试。检测规则详解、IOC 和搜寻指南。
Elastic InfoSec 的智能安全运营中心 (SOC) 内部运作：将警报分类时间从 30 分钟缩短到 3 分钟以内
Elastic 的信息安全团队在 Elastic Workflows 上构建了 AI 代理，这些代理会在分析师打开警报之前调查每个警报并整理案例。
恶意软件分析
查看全部
New North Korean campaign uses fake coding interviews to steal developer credentials
DPRK-aligned hackers hid malware inside SVG flag images to backdoor developer job interview coding tests. Not one antivirus vendor caught it.
TELEPUZ：一种通过 CLICKFIX-VIDAR 链传播的模块化 MaaS 恶意软件
TELEPUZ 是一种模块化恶意软件，于 4 月份通过 CLICKFIX-VIDAR 攻击出现。我们对其进行了逆向工程，向您展示重要的基础设施和规避技术。
从点击修复到提现：墨西哥银行欺诈工具包剖析
Elastic Security Labs 正在追踪 REF6045，这是一个活跃的、由运营商协助的银行欺诈行动，目标是墨西哥银行、金融科技公司、支付处理商和加密货币交易所的客户。
搬迁途中迷失：对新型装载机分销 CASTLESTEALER 的分析
了解一种新型混淆加载器如何使用 .reloc 来规避静态检测。利用部分滥用、五项反虚拟机/语言检查和 MBA 混淆技术，通过 Google Ads 传播信息窃取恶意软件。
内部
查看全部
迷上 LinuxRootkit 检测工程
在本系列文章的第二部分，我们将探讨 Linux rootkit 检测工程，重点是静态检测的局限性和 rootkit 行为检测的重要性。
差异补丁至 SYSTEM
本研究利用 LLM 和补丁差异，详细介绍了 Windows DWM 中的 "免费使用后 "漏洞，演示了一种可靠的漏洞利用方法，可将低权限用户的权限升级到 SYSTEM。
永恒不变的幻象用云文件攻克内核
威胁行为者可以滥用一类漏洞，绕过安全限制，打破信任链。
FlipSwitch：一种新颖的系统调用挂钩技术
FlipSwitch 提供了绕过 Linux 内核防御的全新视角，揭示了网络攻击者和防御者之间持续斗争中的一种新技术。
威胁情报
查看全部wp2shell 攻击 WordPress：检测到从插件投放到命令执行的未授权远程代码执行
我们使用 Elastic Defend 对 wp2shell WordPress RCE 攻击链进行了端到端测试。检测规则详解、IOC 和搜寻指南。
New North Korean campaign uses fake coding interviews to steal developer credentials
DPRK-aligned hackers hid malware inside SVG flag images to backdoor developer job interview coding tests. Not one antivirus vendor caught it.
从点击修复到提现：墨西哥银行欺诈工具包剖析
Elastic Security Labs 正在追踪 REF6045，这是一个活跃的、由运营商协助的银行欺诈行动，目标是墨西哥银行、金融科技公司、支付处理商和加密货币交易所的客户。
在 Entra ID 和 Google Workspace 中检测 Tycoon 2FA AiTM 攻击
Tycoon 2FA 可绕过 Entra ID 和 Google Workspace 上的 MFA。我们在两个平台上映射遥测指纹，为两个层级制定检测规则，并利用弹性工作流在 10 秒内遏制事件。
Machine Learning
查看全部
使用新的 Kibana 集成检测域生成算法 (DGA) 活动
我们已将 DGA 检测包添加到 Kibana 中的 Integrations 应用中。 只需单击一下，您就可以安装并开始使用 DGA 模型和相关资产，包括摄取管道配置、异常检测作业和检测规则。
自动安全保护快速响应恶意软件
看看我们是如何在机器学习模型的帮助下改进流程，使我们能够根据新信息快速做出更新，并将这些保护措施传播给我们的用户。
利用新的弹性集成检测 "离地生活 "攻击
我们在 Kibana 的 "集成 "应用程序中添加了 "离地生活"（LotL）检测包。只需单击一下，您就可以安装并开始使用 ProblemChild 模型和相关资产，包括异常检测配置和检测规则。
使用 Elastic 识别信标式恶意软件
在本博客中，我们将指导用户使用我们的信标识别框架识别其环境中的信标恶意软件。
生成式 AI
查看全部Elastic InfoSec 的智能安全运营中心内部运作：何时将智能体的技能整合到系统中以实现 5 倍的成本降低
我们并行测试了两种代理 SOC 架构，共进行了 36,822 次真实的 Agent Builder 对话。其中一项胜出 5.7 倍：专门的工作流程，可将警报分类，每个警报收费 0.69 美元，而单个代理处理 14 技能则收费 3.42 美元。数据和决策框架如下所示。
Elasticsearch ES|QL COMPLETION 如何将嘈杂的 curl 和 wget 规则转化为高保真云安全警报
Elastic InfoSec 在自己的云集群上测试了这种检测规则模式，使用确定性逻辑和 LLM 分类过滤嘈杂的 curl 和 wget 事件，以便只有真正的威胁才能到达分析师。
Elastic InfoSec 的智能安全运营中心 (SOC) 内部运作：将警报分类时间从 30 分钟缩短到 3 分钟以内
Elastic 的信息安全团队在 Elastic Workflows 上构建了 AI 代理，这些代理会在分析师打开警报之前调查每个警报并整理案例。
从漏洞报告到 CVE 草案，只需几分钟：Elastic 如何利用人工智能实现安全公告自动化
Elastic 的安全团队如何利用 RAG 针对 MITRE 的 CWE 和 CAPEC 目录构建 AI 代理，从原始漏洞报告（包括完整的提示和爬虫配置）中起草 CVE 建议。
工具
查看全部
CI/CD 管道滥用：无人关注的问题
我们如何构建了一个开源的即插即用 CI 模板，该模板使用信号提取和 LLM 推理来捕捉 GitHub Actions、GitLab CI 和 Azure DevOps 管道中的 CI/CD 滥用行为。
WinVisor – 基于管理程序的模拟器，适用于 Windows x64 用户模式可执行文件
WinVisor 是一款基于管理程序的模拟器，适用于 Windows x64 用户模式可执行文件，它利用 Windows Hypervisor Platform API 提供虚拟化环境，用于记录系统调用并实现内存自省。
STIXy 情况：ECSaping 您的威胁数据
结构化威胁数据通常使用 STIX 进行格式化。为了帮助将这些数据导入 Elasticsearch，我们发布了一个 Python 脚本，可将 STIX 转换为 ECS 格式，以便导入到您的堆栈中。
使用命名管道彻夜跳舞 - PIPEDANCE 客户端发布
在本出版物中，我们将介绍该客户端应用程序的功能以及如何开始使用该工具。