| 用途 | 落地物时间与位置复原 |
|---|---|
| 字段 | TargetFilename / Image / CreationUtcTime / Hashes |
按目录筛查
按目录筛查
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object { $_.Id -eq 11 -and $_.Message -match 'AppData|Temp|Startup' } | Select-Object -First 15 TimeCreated, Message哈希拿去与流量导出对象、沙箱报告比对。