Se você tivesse que escrever uma detecção para PowerShell malicioso, em que você se apoiaria?

Apoie-se em comportamento e contexto em vez de em palavras-chave. Sinais fortes incluem processos pais suspeitos (aplicações do Office, navegadores, WMI), linhas de comando codificadas ou ofuscadas, bypass de política de execução combinado com janela oculta, conteúdo de script block logging mostrando chamadas de download ou reflexão, e conexões de saída do powershell.exe para infraestrutura nova. Habilite module logging e script block logging primeiro, porque sem eles você está casando apenas com a linha de comando.

Antes de escrever qualquer coisa eu confiro se script block logging e module logging estão ligados, mais criação de processo com auditoria de linha de comando, porque uma regra contra uma linha de comando truncada é quase inútil. Depois eu empilho sinais em vez de depender de um só. O processo pai é o mais forte: PowerShell criado pelo Word, Excel, Outlook, mshta ou por um navegador vale um alerta quase sozinho. Depois disso, comandos codificados combinados com janela oculta e bypass de política de execução, e dentro do conteúdo do script block eu procuro carregamento reflexivo, DownloadString, Invoke-Expression contra uma variável, e chamadas diretas a APIs de memória. Do lado de rede, powershell.exe falando com um IP puro ou com um domínio visto pela primeira vez na última semana. Eu testo com testes atômicos mais algumas variantes ofuscadas, porque se a minha regra morre com uma concatenação simples de string ela nunca foi uma detecção. O disparo legítimo de sempre é a stack de distribuição e monitoramento, então eu faço a baseline dessas contas de serviço antes de ir para produção, e não depois de o pager tocar.