Windows-Anwendungen können mitunter eine SMB-Authentifizierung auslösen, wenn sie auf manipulierte Pfade oder entfernte Ressourcen zugreifen. Ist das Ziel nicht vertrauenswürdig, kann dieses Verhalten NTLM-Authentifizierungsmaterial offenlegen und zu einem Problem für die Sicherheit von Anmeldedaten werden.
Die Quelle enthält Netzwerk- und DNS-Suchen, die sich auf dieses Szenario konzentrieren und ausdrücklich auf CVE-2025-24054 verweisen.
Netzwerkerkennung
Die erste Abfrage durchsucht Sysmon-Netzwerkereignisse nach dem Zielport 445 und beschränkt den auslösenden Prozess auf Anwendungen wie Explorer, Outlook, Word, Excel, PowerPoint, SearchProtocolHost oder DLLHost.
data.win.system.eventID:3 and data.win.eventdata.destinationPort:445 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\excel.exe or *\powerpnt.exe or *\searchprotocolhost.exe or *\dllhost.exe)
Die Quelle weist darauf hin, dass ins Internet gerichteter TCP/445-Verkehr mit hoher Priorität behandelt werden sollte.
DNS-Erkennung
Eine zweite Abfrage durchsucht Sysmon-DNS-Ereignisse, die von Prozessen erzeugt werden, die üblicherweise an derselben Art von Ressourcenzugriff beteiligt sind:
data.win.system.eventID:22 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\searchprotocolhost.exe) and data.win.eventdata.queryName:*
Die Quelle verzeichnete in den vorangegangenen 30 Tagen null passende Ergebnisse.
Warum der Kontext entscheidend ist
SMB ist in vielen internen Windows-Umgebungen legitim. Eine Verbindung vom Explorer zu einem internen Dateiserver kann völlig erwartbar sein.
Das Risiko ändert sich, wenn eine Office-Anwendung oder eine Windows-Shell-Komponente versucht, über SMB eine Verbindung zu einer externen oder unbekannten Adresse herzustellen.
Deshalb sollten Analysten die Zielinformationen anreichern um:
Klassifizierung als intern oder extern;
Reputation von Rechnername und Domäne;
Benutzeridentität;
ursprüngliches Dokument oder ursprüngliche Datei;
vorangegangene DNS-Abfragen;
Authentifizierungsprotokolle.
Untersuchungsablauf
Tritt eine verdächtige Verbindung auf, sollte die Anwendungsaktivität unmittelbar davor geprüft werden.
Stellen Sie beispielsweise fest, ob:
ein Dokument geöffnet wurde;
auf ein Archiv oder eine Verknüpfung zugegriffen wurde;
ein Download über den Browser erfolgte;
eine Datei einen externen UNC-Pfad enthielt;
eine DNS-Anfrage zu einem unerwarteten Ziel aufgelöst wurde.
Ziel ist es zu verstehen, warum die Windows-Anwendung versucht hat, sich über SMB zu authentifizieren.
Feinabstimmung
Interne SMB-Aktivitäten können erhebliches Rauschen erzeugen, wenn die Abfrage ohne Zielkontext verwendet wird. Eine praxistaugliche Produktionsregel sollte daher externe Ziele und bekanntermaßen nicht vertrauenswürdige Netzwerkbereiche priorisieren.
Interne Dateiserver und freigegebene Infrastruktur können über explizite Zielkontrollen ausgeschlossen werden.
Erkennungswert
Die Quelle verzeichnete keine Treffer, die Regel bleibt jedoch nützlich, da ein Abfluss von Anmeldedaten über SMB sehr gut handlungsrelevant sein kann, wenn er in Richtung Internet auftritt.
Die Überwachung der Kombination aus Anwendung, Netzwerkprotokoll und Zielkontext bietet einen gezielten Weg, verdächtiges NTLM-Expositionsverhalten zu erkennen.
