Suspicious Windows Script File Name

process where event.action == "start" and
 (process.pe.original_file_name : ("cscript.exe", "wscript.exe", "mshta.exe") or (process.name : "javaw.exe" and process.args : "-jar")) and
 process.args_count >= 2 and
 process.command_line : ("*\\AppData\\*", "*\\outlook\\*", "*\\users\\public\\*", "*Menu\\Programs\\Startup\\*", "*\\Downloads\\*") and
 /* script name commonly used in phishing */
 process.args :
     (
      "*.pdf.js",
      "*.pdf.vbs",
      "*_pdf.vbs",
      "*_pdf.js",
      "*.doc.js",
      "*.doc.vbs",
      "*.docx.js",
      "*.docx.vbs",
      "*.ppt.js",
      "*.ppt.vbs",
      "*.xls.js",
      "*.xlsx.js",
      "*.xls.vbs",
      "*.xlsx.vbs",
      "*.jpg.js",
      "*.png.js",
      "*.jpg.vbs",
      "*.png.vbs",
      "*.pdf.hta",
      "_pdf.hta",
      "*pdf.wsf",
      "*.doc.hta",
      "*.xls.hta",
      "*.jpg.hta",
       "*.jpg.jar",
       "*_jpg.jar",
       "*.pdf.jar",
       "*_pdf.jar",
       "*.png.jar",
       "*_png.jar",
        "*.doc.jar",
       "*_doc.jar",
      "*Receipt.js",
      "*Receipt.vbs",
      "*Delivery*.js",
      "*Delivery*.vbs",
      "*Invoice*.js",
      "*Invoice*.vbs",
      "*Fedex*.js",
      "*Fedex*.vbs",
      "*Supplies.js",
      "*Supplies.vbs",
      "*PayOff Wire*",
      "*PURCHASE ORDER*",
      "*payment.js",
      "*payment.vbs",
      "*Quotation*.js",
      "*Quotation*.vbs",
      "*dhl*.js",
      "*dhl*.vbs",
      "*Confirmation*.js",
      "*Confirmation*.vbs",
      "*Wire Transfer*.js",
      "*Wire Transfer*.vbs",
      "*Moneygram*",
      "*agreement*.js",
      "*agreement*.vbs",
      "*Billing*.wsf",
      "*Billing*.vbs",
      "*Billing*.js",
      "*SafeDocu#*",
      "*\\Doc??????.js") and
 not (process.args : "C:\\Users\\Invoices-*" and process.args : "remove")