Prozesse mit SYSTEM-Integrität stammen normalerweise aus vertrauenswürdigen Windows- oder Anwendungsverzeichnissen. Wird ein Prozess auf SYSTEM-Ebene aus einem benutzerschreibbaren Verzeichnis ausgeführt, kann diese Kombination ein nützliches Signal für eine Rechteausweitung sein.

Die Quelle definiert eine verhaltensbasierte Suche genau für diese Bedingung.

Erkennungslogik

Die Abfrage erfordert:

• Sysmon-Prozesserstellung, Ereignis-ID 1;

• Integritätsstufe auf System gesetzt;

• entweder das Prozessabbild oder das übergeordnete Abbild befindet sich unter Users, ProgramData oder Temp.

data.win.system.eventID:1 and data.win.eventdata.integrityLevel:System and (data.win.eventdata.image:(*\Users\* or *\ProgramData\* or *\Temp\*) or data.win.eventdata.parentImage:(*\Users\* or *\ProgramData\* or *\Temp\*))

Die Quelle bringt die Suche mit Zero-Day-Lücken zur lokalen Rechteausweitung in Windows-Kernel, CLFS, AFD, Win32k, DWM, Defender und weiteren Komponenten aus den Jahren 2025 und 2026 in Verbindung.

Es verzeichnete 1,638 Treffer in den vorangegangenen 30 Tagen.

Warum benutzerschreibbare Speicherorte wichtig sind

Verzeichnisse wie temporäre Ordner und Teile von Benutzerprofilen sind üblicherweise für Standardbenutzer oder Anwendungen beschreibbar. Eine Ausführung auf SYSTEM-Ebene aus diesen Verzeichnissen ist daher auffälliger als eine Ausführung aus vertrauenswürdigen Windows-Verzeichnissen.

Das Verhalten ist nicht automatisch bösartig. Installer, Update-Mechanismen oder Agenten für das Unternehmensmanagement können Dateien legitim in temporären oder freigegebenen Verzeichnissen ablegen.

Der Nutzen liegt darin, SYSTEM-Ausführungen zu identifizieren, bei denen Pfad, übergeordneter Prozess oder Datei nicht Teil der freigegebenen Basislinie sind.

Untersuchungsprioritäten

Prüfen Sie für jedes Ereignis:

• vollständiger Pfad der ausführbaren Datei;

• übergeordneter Prozess;

• Erstellungszeitpunkt der Datei;

• digitale Signatur;

• Hashwert;

• Benutzer, der der ursprünglichen Aktivität zugeordnet ist;

• Befehlszeile;

• vorangegangene Prozesskette;

• weitere untergeordnete Prozesse auf SYSTEM-Ebene.

Wenn die ausführbare Datei kurz vor der Ausführung erschienen ist, ermitteln Sie, welcher Prozess sie erstellt hat.

Basislinie und Feinabstimmung

Da die Quelle mehr als tausend Ereignisse zurückgegeben hat, ist eine umgebungsspezifische Feinabstimmung erforderlich.

Beginnen Sie damit, die Ergebnisse zu gruppieren nach:

• Pfad der ausführbaren Datei;

• übergeordneter Prozess;

• Rechnername;

• Signaturgeber;

• Hashwert.

Die wiederholte Ausführung eines bekannten, signierten Updaters kann dokumentiert werden. Seltene, nicht signierte Binärdateien unter Temp oder in einem Benutzerverzeichnis verdienen mehr Aufmerksamkeit.

Korrelationsmöglichkeiten

Diese Suche wird aussagekräftiger, wenn sie kombiniert wird mit:

• ausnutzungsbezogenen Abstürzen;

• verdächtiger Browser- oder Office-Aktivität;

• Änderung von Sicherheitskontrollen;

• Auslesen von Anmeldedaten;

• Persistenz;

• Vorbereitung von Ransomware.

Eine Kette von der Ausführung auf Benutzerebene zur Prozesserstellung auf SYSTEM-Ebene, danach Zugriff auf Anmeldedaten oder Persistenz, ist besonders wichtig.

Betrieblicher Nutzen

Die Regel bietet eine generische Möglichkeit, nach Rechteausweitung zu suchen, ohne eine Signatur für einen bestimmten Kernel-Angriffscode zu benötigen.

Durch den Fokus auf SYSTEM-Integrität in Verbindung mit ungewöhnlichen Ausführungspfaden können Verteidiger Verhalten erkennen, das bei mehreren Schwachstellen zur lokalen Rechteausweitung auftreten kann.