Indikatoren · Frage 11 von 12
Auf einem Büro-PC startet winword.exe einen Prozess powershell.exe mit einem langen Base64-kodierten Befehl. Was ist die plausibelste Bewertung?
1 Antwort ist richtig. Schwer
Lösung anzeigen
Lösung
- A Ein Makro hat vermutlich Schadcode nachgeladen
Erklärung
Office-Programme starten normalerweise keine PowerShell mit kodierten Befehlen. Diese Eltern-Kind-Beziehung ist ein typischer Indikator für ein bösartiges Makro, das weitere Malware lädt. EDR-Regeln, die solche Prozessketten blockieren, verhindern viele Angriffe.