config case_sensitive = false | preset=xdr_process | filter (event_type = ENUM.PROCESS and 
 event_sub_type = ENUM.PROCESS_START) and 
 (agent_os_type = ENUM.AGENT_OS_WINDOWS and 
 ((action_process_image_path in ("*      .exe", "*______.exe", "*.doc.exe", "*.doc.js", "*.docx.exe", "*.docx.js", "*.gif.exe", "*.jpeg.exe", "*.jpg.exe", "*.mkv.exe", "*.mov.exe", "*.mp3.exe", "*.mp4.exe", "*.pdf.exe", "*.pdf.js", "*.png.exe", "*.ppt.exe", "*.ppt.js", "*.pptx.exe", "*.pptx.js", "*.rtf.exe", "*.rtf.js", "*.svg.exe", "*.txt.exe", "*.txt.js", "*.xls.exe", "*.xls.js", "*.xlsx.exe", "*.xlsx.js", "*⠀⠀⠀⠀⠀⠀.exe")) and 
 (action_process_image_command_line in ("*      .exe*", "*______.exe*", "*.doc.exe*", "*.doc.js*", "*.docx.exe*", "*.docx.js*", "*.gif.exe*", "*.jpeg.exe*", "*.jpg.exe*", "*.mkv.exe*", "*.mov.exe*", "*.mp3.exe*", "*.mp4.exe*", "*.pdf.exe*", "*.pdf.js*", "*.png.exe*", "*.ppt.exe*", "*.ppt.js*", "*.pptx.exe*", "*.pptx.js*", "*.rtf.exe*", "*.rtf.js*", "*.svg.exe*", "*.txt.exe*", "*.txt.js*", "*.xls.exe*", "*.xls.js*", "*.xlsx.exe*", "*.xlsx.js*", "*⠀⠀⠀⠀⠀⠀.exe*"))))