Nicht jede Ausnutzung erzeugt eine sofort sichtbare Nutzlast oder eine offensichtliche Prozesskette. Speicherbeschädigungen und die Ausnutzung von Kernel-Treibern können sich auch als Anwendungsabstürze, Dienstausfälle oder Fehler von Systemkomponenten zeigen.
Die Quelle enthält eine Suche, die Windows-Absturztelemetrie als zusätzliches Signal verwendet, wenn Belege für eine direkte Ausführung fehlen könnten.
In der Suche enthaltene Komponenten
Die Abfrage durchsucht die Windows-Ereignis-IDs 1000 und 1001 nach Meldungen, die Folgendes referenzieren:
clfs.sys;afd.sys;Win32k-Komponenten;
dwmcore.dll;lsass.exe;netlogon.dll;Chrome;
Microsoft Edge;
V8-bezogene Komponenten.
Erkennungsabfrage
data.win.system.eventID:(1000 or 1001) and data.win.system.message:(clfs.sys or afd.sys or win32k* or dwmcore.dll or lsass.exe or netlogon.dll or chrome.dll or msedge.dll or v8*)
Die Quelle beschreibt dies als Abdeckung für Speicherbeschädigung und die Ausnutzung von Kernel-Treibern, bei denen die Ausführung des Schadcodes nicht sichtbar ist.
Es verzeichnete in den vorangegangenen 30 Tagen null Ereignisse.
Warum Absturzereignisse nützlich sein können
Ein Absturz allein ist kein Beweis für eine Ausnutzung. Softwarefehler, instabile Treiber, Hardwareprobleme und normale Anwendungsausfälle können ähnliche Ereignisse erzeugen.
Absturztelemetrie kann jedoch wertvoll werden, wenn sie auftritt:
auf einem aus dem Internet erreichbaren oder sensiblen System;
unmittelbar nach verdächtigen Eingaben;
zeitnah zu Indikatoren für die Ausnutzung von Browsern oder Anwendungen;
kurz vor einer unerwarteten SYSTEM-Ausführung;
wiederholt auf mehreren Systemen.
Das Ereignis liefert einen weiteren Kontextbaustein, der mit stärkeren Sicherheitssignalen korreliert werden kann.
Vorgehen bei der Untersuchung
Bei einem relevanten Absturzereignis sollten Analysten Folgendes prüfen:
betroffener Prozess oder betroffenes Modul;
Hostrolle;
genauer Zeitstempel;
Anwendungsversion;
Ereignisse zur Prozesserstellung in der Nähe;
Dateischreibvorgänge;
Netzwerkaktivität;
Sicherheitsalarme.
Zeigen mehrere Endpunkte nach ähnlichen Aktivitäten dasselbe ungewöhnliche Absturzmuster, kann das Ereignis eine Eskalation rechtfertigen.
Überinterpretation vermeiden
Absturztelemetrie sollte nicht als eigenständige Regel für eine Kompromittierung behandelt werden. Ihr Wert liegt vor allem in der Korrelation und im Threat Hunting.
Ein Browser-Absturz gefolgt von einer PowerShell-Ausführung wäre beispielsweise verdächtiger als der Absturz allein. Ebenso kann ein treiberbezogener Absturz, gefolgt von einem aus Temp ausgeführten SYSTEM-Prozess, eine stärkere Kette ergeben.
Operativer Einsatz
Diese Regel eignet sich als unterstützende Analyse und nicht als primärer Alarm. Sie kann helfen, Ausnutzungsversuche sichtbar zu machen, die fehlschlagen, teilweise erfolgreich sind oder keine eindeutige Telemetrie zum Schadcode erzeugen.
Das Ausbleiben von Treffern im Quellzeitraum mindert ihren Wert nicht. Seltene Absturzmuster können wichtig werden, wenn sie mit anderen Endpunktindikatoren zusammenfallen.
