---

<rule id="100008" level="14">
  <if_sid>60103</if_sid>
  <field name="win.eventdata.parentImage">\\python\.exe</field>
  <field name="win.eventdata.image">\\cmd\.exe|\\python\.exe</field>
  <description>КРИТИЧЕСКАЯ УГРОЗА: Обнаружена Fork-бомба или цикличный запуск скриптов из-под Python!</description>
  <group>windows,process_creation,malware,critical,</group>
</rule>