# AN1221 — Analytic 1221 ## Descrição Detecta criação, modificação ou exclusão de tarefas agendadas via Task Scheduler, WMI, PowerShell ou métodos baseados em API, seguidas de execução a partir de svchost.exe ou taskeng.exe. A telemetria inclui eventos de auditoria de tarefas agendadas (EID 4698, 4699, 4702), criação de processos filhos sob SYSTEM ou contextos de usuário suspeitos e modificações em chaves de registro relacionadas. Essa análise permite identificar mecanismos de persistência e execução de código malicioso em momentos específicos do sistema. **Plataformas:** Windows ## Técnicas Relacionadas - [[t1053-scheduled-task-job|T1053 — Scheduled Task/Job]] - [[t1053.005-scheduled-task|T1053.005 — Scheduled Task]] - [[t1059-001-powershell|T1059.001 — PowerShell]] - [[t1543-create-or-modify-system-process|T1543 — Create or Modify System Process]] --- *Fonte: [MITRE ATT&CK — AN1221](https://attack.mitre.org/detectionstrategies/DET0441#AN1221)*