Статья Используем YARA правила, чтобы отключить сборщик событий Windows

[ADMIN]

YARA-правила позволяют путем анализа некоторых статических данных определять аномалии хоть в памяти, хоть на диске. Например, если в лицухе у ехешника указан Benjamin DELPY, то что-то идет не так

Но мы можем внедрять собственные YARA-правила. Например, следующее:

rule disable { condition: true }

Это приведет к тому, что все события, поступающие в Windows Event Log Service будут им же и отброшены.

Для реализации такого необычного метода отключения логирования уже написан POC:

https://github.com/bats3c/EvtMute