Die Microsoft Management Console ist eine legitime Windows-Komponente, doch die Ausführung von .msc-Dateien aus für Benutzer beschreibbaren Verzeichnissen kann ein nützliches Signal für das Threat Hunting sein, wenn bösartige Zustellung oder die Ausnutzung von Dateihandlern untersucht wird.

Die Quelle definiert eine gezielte Erkennung für mmc.exe, das MSC-Dateien aus Speicherorten öffnet, an denen heruntergeladene oder vom Angreifer kontrollierte Inhalte auftreten können.

Erkennungsfokus

Die Abfrage sucht nach MMC-Befehlszeilen mit Verweisen auf .msc-Dateien in:

• Downloads;

• AppData;

• Temp;

• Users\Public.

Die Quelle verbindet diese Suche ausdrücklich mit CVE-2025-26633 und ähnlichen MMC-Zustellungstechniken.

Erkennungsabfrage

data.win.system.eventID:1 and data.win.eventdata.image:*\mmc.exe and data.win.eventdata.commandLine:(*\Downloads\*.msc or *\AppData\*.msc or *\Temp\*.msc or *\Users\Public\*.msc)

Die Quelle verzeichnete in den vorangegangenen 30 Tagen null Treffer.

Warum der Speicherort wichtig ist

MMC selbst ist nicht verdächtig. Der Wert liegt im Speicherort der geöffneten MSC-Datei.

Dateien in Verzeichnissen der Systemadministration können erwartbar sein. Eine neu heruntergeladene MSC-Datei, die aus einem Benutzerprofil oder einem temporären Verzeichnis geöffnet wird, ist ungewöhnlicher und kann bei der Prüfung priorisiert werden.

Diese Art der kontextbezogenen Erkennung ist wertvoll, weil sie die Abhängigkeit von einem bestimmten Dateinamen oder Hashwert verringert.

Untersuchungsablauf

Liefert die Abfrage einen Treffer, sollten Analysten Folgendes untersuchen:

• den vollständigen Pfad der MSC-Datei;

• Erstellungszeitpunkt der Datei;

• Browser- oder E-Mail-Aktivität vor der Ausführung;

• den Benutzer, der MMC gestartet hat;

• der übergeordnete Prozess von mmc.exe;

• alle von MMC erstellten untergeordneten Prozesse;

• Netzwerkaktivität nach der Ausführung.

Startet MMC cmd.exe, PowerShell, mshta.exe oder ein anderes Systemdienstprogramm, wird das Ereignis deutlich verdächtiger.

Hinweise zur Feinabstimmung

Manche Unternehmenswerkzeuge verteilen legitime MSC-Dateien in für Benutzer zugängliche Verzeichnisse. Diese Fälle sollten dokumentiert und mit dem kleinstmöglichen Umfang ausgeschlossen werden.

Eine gute Ausnahme kann einen bekannten Dateinamen, Pfad, Herausgeber, Hashwert oder Management-Prozess umfassen, statt ein ganzes Verzeichnis aus der Suche zu nehmen.

Warum eine Regel ohne Treffer dennoch wertvoll sein kann

Eine Erkennung muss nicht häufig Treffer liefern, um nützlich zu sein. Eine Regel mit geringem Volumen kann sogar handlungsrelevanter werden, weil jeder künftige Treffer auffällt.

In Umgebungen, in denen Benutzer heruntergeladene MSC-Dateien nur selten ausführen, kann diese Regel als gezielte Frühwarnerkennung für verdächtiges MMC-Verhalten dienen.