条件1:
Startup、AppData、Tempなどへ
EXE・DLL・DAT・LOGが作成された

AND

条件2:
同じディレクトリに
正規署名付きEXEとDLLが存在する

AND

条件3:
そのEXEがDLLをロードした

AND

条件4:
直後に外部通信が発生した

上記すべてが成立した場合：

Severity: Critical
自動隔離: 有効
プロセス停止: 有効
ネットワーク遮断: 有効

次のファイル名は、特に確認優先度を上げます。

NOVUpdate.exe
NOVUpdate.exe.dat
avk.dll
hostfxr.dll
MpClient.dll
Claude.msi
Claude.vbs
~del.vbs.bat

ただし、hostfxr.dllやMpClient.dllは正規環境でも存在する可能性があります。

ファイル名だけで削除せず、次を確認してください。

• 配置場所

• ハッシュ

• デジタル署名

• 親プロセス

• 同時に作成されたファイル

• 外部通信先

• 実行ユーザー

• 初回確認時刻

4. App Control for Business／WDAC

より強い対策として、ユーザー書き込み可能な次の場所からEXEやDLLを実行できないようにします。