微软于昨日推出了 Sysinternals Suite 2022.08.16 套件。本次更新带来了 Sysmon v14.0, AccessEnum v1.34 和 Coreinfo v3.53。新版 Sysmon 中新增了阻止创建 EXE 或者类似可执行文件的进程。
Sysmon v14.0 更新日志中写道：“高级主机监控工具 Sysmon 在这次重大更新中，添加了一个新的事件类型 FileBlockExecutable，它可以防止进程在指定位置创建可执行文件。本次更新还包括一些性能改进和错误修复”。
Sysmon GitHub 存储库维护者 Olaf Hartong 解释说，这种功能可以帮助防止创建恶意文件或通过宏中使用的恶意软件释放程序下载二级恶意有效负载等。他说：
Sysmon 现在阻止可执行文件，根据过滤条件将文件头写入文件系统。这是阻止某些程序将恶意文件写入磁盘的非常强大的功能。还给出了一个使用简单示例的演示来展示它是如何工作的。在这种情况下，Sysmon 可以用来阻止下载：
