Установлена новая служба

Что это значит

В системе зарегистрирована новая служба. PsExec, Cobalt Strike и многие инструменты бокового перемещения оставляют след именно здесь.

Первые шаги

1. 1Смотрите Service File Name — путь в Temp или случайное имя подозрительны.
2. 2Сопоставьте по времени с 4624 Type 3 из того же источника.

Связанные события

• 4698