Die Quelle definiert mehrere Suchen für die Windows-CLFS-Zero-Day-Lücke und die PipeMagic-Exploit-Kette, einschließlich der Aktivität im Zusammenhang mit CVE-2025-29824 und späterem Ransomware-Verhalten.

Anstatt sich auf einen einzelnen Indikator zu verlassen, deckt der Ansatz für Threat Hunting Befehle zum Bereitlegen, bekannte Hashwerte, Befehls- und Steuerungsinfrastruktur und benannte Pipes ab.

Bereitlegen mit Certutil und MSBuild

Die erste Abfrage sucht nach certutil.exe, das entfernte Inhalte herunterlädt oder verarbeitet, sowie nach MSBuild- oder .NET-Ausführung mit Verweisen auf für Benutzer beschreibbare Verzeichnisse:

data.win.system.eventID:1 and ((data.win.eventdata.image:*\certutil.exe and data.win.eventdata.commandLine:(*http* or *urlcache* or *split*)) or (data.win.eventdata.image:(*\msbuild.exe or *\dotnet.exe) and data.win.eventdata.commandLine:(*\Users\* or *\ProgramData\* or *\Temp\*)))

Die Quelle verzeichnete 44 passende Ereignisse in den vorangegangenen 30 Tagen.

Veröffentlichte PipeMagic-Hashwerte

Die zweite Abfrage durchsucht Hashwertdaten von Prozessen nach drei veröffentlichten Werten:

data.win.eventdata.hashes:(*dc54117b965674bad3d7cd203ecf5e7fc822423a3f692895cf5e96e83fb88f6a* or *4843429e2e8871847bc1e97a0f12fa1f4166baa4735dff585cb3b4736e3fe49e* or *297ea881aa2b39461997baf75d83b390f2c36a9a0a4815c81b5cf8be42840fd1*)

Die Quelle verzeichnete null Treffer.

Indikatoren für C2 und benannte Pipes

Die dritte Abfrage sucht nach einem veröffentlichten Rechnernamen und einem Muster für benannte Pipes:

(data.win.system.eventID:3 and (data.win.eventdata.destinationHostname:"aaaaabbbbbbb.eastus.cloudapp.azure.com" or full_log: "aaaaabbbbbbb.eastus.cloudapp.azure.com")) or (data.win.system.eventID:(17 or 18) and data.win.eventdata.pipeName:*\1.*)

Die Quelle verzeichnete erneut null Treffer.

Interpretation der 44 Ereignisse zum Bereitlegen

Die Abfrage zum Bereitlegen ist breiter gefasst als die Hashwert- und C2-Indikatoren. Certutil, MSBuild und dotnet sind legitime Werkzeuge, daher erfordern diese 44 Ereignisse eine kontextbezogene Prüfung.

Analysten sollten priorisieren:

• entfernte URLs;

• Ausführung aus Temp oder ProgramData;

• ungewöhnliche übergeordnete Prozesse;

• nicht signierter Schadcode;

• Aktivität kurz vor Rechteausweitung oder Ransomware-Befehlen.

Warum Indikatorenvielfalt wichtig ist

Hashwerte und Infrastrukturindikatoren sind präzise, können aber veralten oder sich zwischen Kampagnen ändern. Verhaltensbasierte Regeln zum Bereitlegen sind breiter gefasst und können verwandte Aktivität auch dann erkennen, wenn keine bekannte Probe vorhanden ist.

Die stärkste Strategie für Threat Hunting kombiniert daher beides.

Untersuchungsablauf

Prüfen Sie bei einem Ereignis zum Bereitlegen die heruntergeladene oder ausgeführte Datei, berechnen Sie Hashwerte, kontrollieren Sie Netzwerkziele, untersuchen Sie den übergeordneten Prozess und korrelieren Sie mit nachfolgender SYSTEM-Ausführung oder Ransomware-Verhalten.

Betrieblicher Nutzen

Dieser Satz von Suchen bietet eine mehrschichtige Sicht auf die Angriffskette: generisches Verhalten beim Bereitlegen, bekannte Malware-Artefakte und bekannte Kommunikationsindikatoren.

Diese Kombination ist sowohl für kampagnenspezifisches Threat Hunting als auch für die umfassendere Entwicklung von Erkennungsregeln nützlich.