---

  <rule id="100002" level="12">
    <if_sid>61603</if_sid>
    <field name="win.eventdata.parentImage">python.exe</field>
    <field name="win.eventdata.image">cmd.exe</field>
    <description>Критическая угроза: Обнаружено выполнение удаленного кода (RCE) через Python!</description>
    <mitre>
      <id>T1203</id>
    </mitre>
  </rule>