Bösartige Dokumente, manipulierte Archive und Schwachstellen in Dateihandlern setzen häufig auf eine vertrauenswürdige Benutzeranwendung, um native Code-Ausführung zu erreichen. Prozessbeziehungen auf Endpunkten können helfen, diesen Übergang sichtbar zu machen.
Die Quelle definiert eine Suche nach Microsoft-Office-Anwendungen, Adobe Reader, Archivwerkzeugen, Windows Explorer und der Microsoft Management Console, die Befehls-Shells und andere verdächtige untergeordnete Prozesse starten.
In der Suche enthaltene Anwendungen
Die Liste der übergeordneten Prozesse umfasst:
Microsoft Word;
Excel;
PowerPoint;
Outlook;
Adobe Reader;
7-Zip;
WinRAR;
Windows Explorer;
MMC.
Die Liste verdächtiger untergeordneter Prozesse umfasst Befehls-Shells, Skript-Interpreter, LOLBins, Werkzeuge für geplante Aufgaben und den Windows Installer.
Erkennungsabfrage
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\winword.exe or *\excel.exe or *\powerpnt.exe or *\outlook.exe or *\acrord32.exe or *\7zfm.exe or *\7zg.exe or *\winrar.exe or *\explorer.exe or *\mmc.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe or *\msiexec.exe)
Die Quelle bringt die Suche mit Schwachstellen in bösartigen Dokumenten und Dateihandlern in Verbindung, darunter CVE-2025-0411, CVE-2025-24054, CVE-2025-24985, CVE-2025-24991, CVE-2025-24993, CVE-2025-26633, CVE-2025-8088, CVE-2025-6218 sowie spätere Zero-Day-Lücken in Office oder der Windows Shell.
Die Abfrage lieferte 621 Ergebnisse in den vorangegangenen 30 Tagen.
Das Verhalten interpretieren
Nicht jeder untergeordnete Prozess ist bösartig. Manche Dokumente enthalten legitime Automatisierung, Unternehmenssoftware kann Dateihandler registrieren, und Archivwerkzeuge können Hilfsanwendungen aufrufen.
Entscheidend ist die Frage, ob die Prozessbeziehung für den jeweiligen Benutzer, Host und Arbeitsablauf erwartbar ist.
Beispielsweise ist winword.exe → powershell.exe auf einer normalen Büro-Arbeitsstation deutlich interessanter als ein bekanntes Bereitstellungswerkzeug, das msiexec.exe aufruft.
Untersuchungsschritte
Prüfen Sie bei jedem verdächtigen Ereignis:
die ursprüngliche übergeordnete Anwendung;
die geöffnete Datei, sofern verfügbar;
Befehlszeilenargumente;
Benutzeridentität;
Quellpfad des Dokuments oder Archivs;
Datei-Hashwerte;
Netzwerkverbindungen;
weitere untergeordnete Prozesse;
nach der Ausführung erstellte Dateien.
Setzt sich die Kette in Download-Werkzeugen, Skript-Interpretern oder Persistenzbefehlen fort, sollte das Ereignis höher priorisiert werden.
Falsch-Positive reduzieren
Gruppieren Sie die Ergebnisse zunächst nach Prozesspaar und Befehlszeile. Die 621 Ereignisse der Quelle lassen sich möglicherweise auf wenige wiederkehrende legitime Muster reduzieren.
Gute Ausnahmen sind eng gefasst und nachvollziehbar. Sie sollten einen bestimmten freigegebenen Arbeitsablauf beschreiben, statt eine ganze Anwendung aus der Überwachung zu nehmen.
Erkennungswert
Diese Suche ist nützlich, weil sie nicht für jedes bösartige Dokument oder Archiv eine Signatur benötigt. Sie überwacht das Verhalten, das häufig auf eine erfolgreiche Ausnutzung folgt.
Damit ist sie eine praxistaugliche Erkennungsebene für Endpunktumgebungen, in denen Office-Dateien, Archive, PDFs und administrative Konsolen weiterhin häufige Angriffsflächen sind.
