Sister Carrie

<evententry class=“srcprocLDBX??” event=“message” subevent=“keyboard” weight=“E1” allow=“true” />

<evententry class=“srcproc” event=“message” subevent=“mouse” weight=“E1” allow=“true” />

<evententry class=“srcproc” event=“message” subevent=“dde” weight=“E1” allow=“true” />

<evententry class=“srcproc” event=“message” subevent=“message” weight=“E1” allow=“true” />

<evententry class=“srcproc” event=“execution” subevent=“callback” weight=“LDBX??E1” allow=“true” />

<evententry class=“srcproc” event=“execution” subevent=“windowshook” weight=“E1” allow=“true” />

<evententry class=“srcproc” event=“execution” subevent=“globalwindowshook” allow=“true” />

<evententry class=“srcproc” event=“registry” subevent=“setvalue” rulesetref=“rs-reg-allow” />

<evententry class=“srcproc” event=“registry” subevent=“setkey” rulesetref=“rs-reg-allow” />

LDBX?? <evententry class=“srcproc” event=“registry” subevent=“delvalue” rulesetref=“rs-reg-allow” />

<evententry class=“srcproc” event=“registry” subevent=“delkey” rulesetref=“rs-reg-allow” />

<evententry class=“srcproc” event=“registry” subevent=“createkey” rulesetref=“rs-reg-allow” />

<evententry class=“srcproc” event=“file” subevent=“write” rulesetref=“rs-files-allow” />

<evententry class=“srcproc” event=“fiLDBX??le” subevent=“delete” rulesetref=“rs-files-allow” />

<evententry class=“srcproc” event=“module” subevent=“load” rulegroupref=“rg-modld-ok” />

<evententry class=“srcproc” event=“driver” subevent=“load” allow=“true” />

<evententry class=“srcproc” event=“driver” subevent=“unload” allow=“true” />

<evententry class=“srcproc” event=“driver” subevent=“connect” allow=“true” />

<evententry class=“LDBX??srcproc” event=“driver” subevent=“create” allow=“true” />

<evententry class=“srcproc” event=“driver” subevent=“modify” allow=“true” />

<evententry class=“srcproc” event=“driver” subevent=“delete” allow=“true” />

<evententry class=“srcproc” event=“physmem” subevent=“map” allow=“true” />

<evententry class=“dstproc” event=“process” subevent=“openprocess” weight=“65” rulegroupref=“rg- openp-ask” />

LDBX?? <evententry class=“dstproc” event=“process” subevent=“openthread” weight=“65” rulegroupref=“rg- opent-ask” />

<evententry class=“dstproc” event=“process” subevent=“startupprocess” weight=“65” allow=“true” />

<evententry class=“dstproc” event=“process” subevent=“terminateprocess” weight=“65” rulegroupref=“rg- termp-ask” />

<evententry class=“dstproc” event=“process” subevent=“oleconnect” weight=“65” rulegroupref=“rg-olecn- asLDBX??k” />

<evententry class=“dstproc” event=“message” subevent=“keyboard” weight=“65” rulegroupref=“rg-keybd- ask” />

<evententry class=“dstproc” event=“message” subevent=“mouse” weight=“65” allow=“true” />

<evententry class=“dstproc” event=“message” subevent=“dde” weight=“65” rulegroupref=“rg-ddein-ask” />

<evententry class=“dstproc” event=“message” subevent=“message” weight=“65” rulegroupref=“rg-msg- ask” />

LDBX?? <evententry class=“dstproc” event=“execution” subevent=“callback” weight=“65” rulegroupref=“rg- callb-ask” />

<evententry class=“dstproc” event=“execution” subevent=“windowshook” weight=“65” rulegroupref=“rg- whook-ask” />

</eventgroup>

<eventgroup name=“kill” description=“Kill” weight=“75” severityref=“crit_malicious” trustChoice=“kill” trustDisplay=“kill”>

<evententry class=“srcproc” event=“procLDBX??ess” subevent=“openprocess” rulegroupref=“rg-openp-blk” />

<evententry class=“srcproc” event=“process” subevent=“openthread” rulegroupref=“rg-opent-blk” />

<evententry class=“srcproc” event=“process” subevent=“spawnprocess” rulegroupref=“rg-spawn-blk” />

<evententry class=“srcproc” event=“process” subevent=“startupprocess” rulegroupref=“rg-start-blk” />

<evententry class=“srcproc” event=“process” subevent=“teLDBX??rminateprocess” rulegroupref=“rg-termp- blk” />

<evententry class=“srcproc” event=“process” subevent=“oleconnect” rulegroupref=“rg-olecn-blk” />

<evententry class=“srcproc” event=“message” subevent=“keyboard” rulegroupref=“rg-keybd-blk” />