Moderne Browser führen täglich komplexe, potenziell nicht vertrauenswürdige Inhalte aus. Führt eine Browser-Schwachstelle zu nativer Code-Ausführung, kann ein unerwarteter, vom Browser erstellter untergeordneter Prozess eines der nützlichsten Endpunktsignale sein.
Die Quelle definiert eine aussagekräftige verhaltensbasierte Suche nach dieser Aktivität für Chrome, Microsoft Edge, Firefox, Brave und Opera.
Verdächtige Prozessbeziehungen von Browsern
Die Abfrage überwacht Browser, die untergeordnete Prozesse erstellen wie:
cmd.exe;powershell.exeoderpwsh.exe;mshta.exe;wscript.exeodercscript.exe;rundll32.exe;regsvr32.exe;certutil.exe;bitsadmin.exe;schtasks.exe.
Diese Werkzeuge sind legitim, in vielen Umgebungen jedoch ungewöhnliche untergeordnete Prozesse bei normaler Browser-Aktivität.
Die Quelle bringt dieses Verhalten mit mehreren Zero-Day-Lücken in Chrome und Chromium in Verbindung, darunter CVE-2025-2783, CVE-2025-5419, CVE-2025-6554, CVE-2025-6558, CVE-2025-13223, CVE-2025-14174, CVE-2026-2441, CVE-2026-3910, CVE-2026-5281 und CVE-2026-11645. Sie nennt außerdem eine Abdeckung für Aktivität nach der Ausnutzung bei Edge und Firefox.
Erkennungsabfrage
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\chrome.exe or *\msedge.exe or *\firefox.exe or *\brave.exe or *\opera.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe)
Die Quelle verzeichnete 37,947 Treffer in den vorangegangenen 30 Tagen.
Warum eine aussagekräftige Regel dennoch rauschen kann
Die Prozessbeziehung ist grundsätzlich verdächtig, in Unternehmensumgebungen kann jedoch legitimes, vom Browser ausgelöstes Verhalten durch Management-Werkzeuge, Hilfsanwendungen, Erweiterungen, Testframeworks, Software-Installer oder individuelle Arbeitsabläufe entstehen.
Die große Anzahl an Ereignissen bedeutet, dass die Rohabfrage ohne Feinabstimmung nicht als bestätigter Kompromittierungsalarm behandelt werden sollte.
Ein sinnvoller erster Schritt ist die Aggregation der Ergebnisse nach:
Browser;
untergeordnetem Prozess;
Rechnername;
Benutzer;
Befehlszeile;
Pfad der ausführbaren Datei.
Dies zeigt in der Regel, ob das Volumen von wenigen bekannten Arbeitsabläufen stammt oder ob verdächtige Kombinationen in der gesamten Umgebung verteilt sind.
Untersuchungsprioritäten
Eine seltene Beziehung zwischen Browser und Shell sollte priorisiert werden, insbesondere in Kombination mit:
einer ungewöhnlichen oder kodierten Befehlszeile;
Dateierstellung in temporären Verzeichnissen;
externen Downloads;
Erstellung geplanter Aufgaben;
Änderung von Sicherheitswerkzeugen;
unerwarteten ausgehenden Netzwerkverbindungen.
Auch die Browser-Aktivität im Umfeld kann nützlichen Kontext liefern. Analysten können die Benutzersitzung, die Browser-Version, die zuletzt aufgerufenen URLs (falls verfügbar) und Endpunktalarme im selben Zeitraum prüfen.
Strategie zur Feinabstimmung
Vermeiden Sie pauschale Ausnahmen wie das Ignorieren aller chrome.exe → cmd.exe-Ereignisse. Identifizieren Sie stattdessen den genauen legitimen Mechanismus, der für wiederkehrende Ereignisse verantwortlich ist, und erstellen Sie eng gefasste Ausnahmen.
So kann beispielsweise ein bestimmtes intern freigegebenes Werkzeug auf einer begrenzten Zahl von Hosts eine bekannte Browser-Kindbeziehung erzeugen. Wird nur dieser Anwendungspfad oder dieses Befehlszeilenmuster ausgeschlossen, bleibt die Sichtbarkeit an anderer Stelle erhalten.
Praktischer Erkennungswert
Die Ausnutzung von Browsern lässt sich allein anhand des Netzwerkverkehrs schwer erkennen, insbesondere wenn der initiale Angriffscode nur kurzlebig ist. Prozesstelemetrie von Endpunkten liefert eine weitere Perspektive.
Die Überwachung von Browsern, die sich plötzlich wie Befehlsstarter verhalten, kann daher helfen, Aktivität nach der Ausnutzung aufzudecken, selbst wenn der konkrete Angriffscode nicht direkt beobachtet wird.
