Sysmon Event-ID 11: Datei erstellt

• Browser, die Downloads schreiben, Installer, die nach Program Files schreiben, Updater, die Binärdateien ersetzen.
• Office und Windows, die Temp- und Cache-Dateien schreiben.

• In %TEMP%, %APPDATA%, ProgramData oder C:\Users\Public abgelegte Payloads.
• Persistenzdateien in ...\Start Menu\Programs\Startup oder neue Aufgaben-XML in C:\Windows\System32\Tasks.
• Speicherabbilder wie lsass.dmp, geschrieben von ProcDump, dem Task-Manager oder rundll32.exe.
• Tools, die bei Lateral Movement à la PsExec von System über Admin-Freigaben nach C:\Windows kopiert werden.

• Über ProcessGuid auf Event 1 pivotieren, um zu sehen, welcher Prozess und Elternprozess die Datei geschrieben hat.
• Nach einem späteren Event 1 suchen, dessen Image gleich TargetFilename ist — die abgelegte Datei wurde ausgeführt.
• Bei heruntergeladenen Dateien Event 15 auf den Zone.Identifier-Stream prüfen, um die Quell-URL zu erhalten.

MITRE ATT&CK v19.2. Technik- und Taktiknamen wie von MITRE veröffentlicht (Englisch).

165 SigmaHQ-Erkennungsregeln (Release r2026-07-01) zielen auf dieses Ereignis. Angezeigt werden die 25 Regeln mit dem höchsten Schweregrad.

• Kritisch · 7
• Hoch · 89
• Mittel · 60
• Niedrig · 9

• KritischHackTool - Dumpert Process Dumper Default FileRule by Florian Roth (Nextron Systems), SigmaHQ, DRL 1.1
• KritischHackTool - Inveigh Execution ArtefactsRule by Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• KritischHackTool - Mimikatz Kirbi File CreationRule by Florian Roth (Nextron Systems), David ANDRE, SigmaHQ, DRL 1.1
• KritischHackTool - QuarksPwDump Dump FileRule by Florian Roth (Nextron Systems), SigmaHQ, DRL 1.1
• KritischPotential DCOM InternetExplorer.Application DLL HijackRule by Roberto Rodriguez @Cyb3rWard0g, Open Threat Research (OTR), wagga, SigmaHQ, DRL 1.1
• KritischWmiexec Default Output FileRule by Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• KritischWmiprvse Wbemcomn DLL Hijack - FileRule by Roberto Rodriguez (Cyb3rWard0g), OTR (Open Threat Research), SigmaHQ, DRL 1.1
• Hoch.RDP File Created By Uncommon ApplicationRule by Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• HochAdwind RAT / JRAT File ArtifactRule by Florian Roth (Nextron Systems), Tom Ueltschi, Jonhnathan Ribeiro, oscd.community, SigmaHQ, DRL 1.1
• HochBloodHound Collection FilesRule by C.J. May, SigmaHQ, DRL 1.1
• HochCreation Exe for Service with Unquoted PathRule by frack113, SigmaHQ, DRL 1.1
• HochCred Dump Tools Dropped FilesRule by Teymur Kheirkhabarov, oscd.community, SigmaHQ, DRL 1.1
• HochDLL Search Order Hijackig Via Additional Space in PathRule by frack113, Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• HochDPAPI Backup Keys And Certificate Export Activity IOCRule by Nounou Mbeiri, Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• HochFile Creation In Suspicious Directory By Msdt.EXERule by Vadim Varganov, Florian Roth (Nextron Systems), SigmaHQ, DRL 1.1
• HochFile With Uncommon Extension Created By An Office ApplicationRule by Vadim Khrykov (ThreatIntel), Cyb3rEng (Rule), Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• HochHackTool - CrackMapExec File IndicatorsRule by Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• HochHackTool - Impacket File IndicatorsRule by The DFIR Report, IrishDeath, SigmaHQ, DRL 1.1
• HochHackTool - NetExec File IndicatorsRule by Swachchhanda Shrawan Poudel (Nextron Systems), SigmaHQ, DRL 1.1
• HochHackTool - NPPSpy Hacktool UsageRule by Florian Roth (Nextron Systems), SigmaHQ, DRL 1.1
• HochHackTool - Potential Remote Credential Dumping Activity Via CrackMapExec Or Impacket-SecretsdumpRule by SecurityAura, SigmaHQ, DRL 1.1
• HochHackTool - Powerup Write Hijack DLLRule by Subhash Popuri (@pbssubhash), SigmaHQ, DRL 1.1
• HochHackTool - RemoteKrbRelay SMB Relay Secrets Dump Module IndicatorsRule by Nasreddine Bencherchali (Nextron Systems), SigmaHQ, DRL 1.1
• HochHackTool - SafetyKatz Dump IndicatorRule by Markus Neis, SigmaHQ, DRL 1.1
• HochHackTool - Typical HiveNightmare SAM File ExportRule by Florian Roth (Nextron Systems), SigmaHQ, DRL 1.1

Regeln der genannten Autoren, von SigmaHQ unter der Detection Rule License (DRL) 1.1 veröffentlicht.

• 1ProzesserstellungSysmon→
• 15Alternate data stream createdSysmonEnglisch→
• 23File deleted (archived)SysmonEnglisch→
• 29Executable file detectedSysmonEnglisch→
• 4663ObjektzugriffSecurity→
• 5145Zugriffsprüfung auf FreigabeobjektSecurity→

• Microsoft Learn — Sysmon (Sysinternals)
• MITRE ATT&CK — Ingress Tool Transfer (T1105)