Цепочки с forfiles и mshta действительно могут быстро сломать обычные parent-child триггеры. Лично мне кажется, что без дополнительного контекста команд и времени ловить таких юзеров будет сложно, поэтому поведенческие правила и анализ аномалий — самый адекватный вариант. Просто по родительскому процессу много ложняков, особенно с такими "левыми" легитимными утилитами.