Los navegadores modernos ejecutan cada día contenido complejo y potencialmente no confiable. Cuando una vulnerabilidad del navegador da lugar a la ejecución de código nativo, una de las señales más útiles del endpoint puede ser un proceso secundario inesperado creado por el navegador.
La fuente define una búsqueda de comportamiento de alta señal para esta actividad en Chrome, Microsoft Edge, Firefox, Brave y Opera.
Relaciones sospechosas entre procesos del navegador
La consulta supervisa navegadores que crean procesos secundarios como:
cmd.exe;powershell.exeopwsh.exe;mshta.exe;wscript.exeocscript.exe;rundll32.exe;regsvr32.exe;certutil.exe;bitsadmin.exe;schtasks.exe.
Estas herramientas son legítimas, pero en muchos entornos son procesos secundarios inusuales para la actividad normal de un navegador.
La fuente vincula este comportamiento con varias vulnerabilidades de día cero de Chrome y Chromium, entre ellos CVE-2025-2783, CVE-2025-5419, CVE-2025-6554, CVE-2025-6558, CVE-2025-13223, CVE-2025-14174, CVE-2026-2441, CVE-2026-3910, CVE-2026-5281 y CVE-2026-11645. También menciona cobertura de la postexplotación en Edge y Firefox.
Consulta de detección
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\chrome.exe or *\msedge.exe or *\firefox.exe or *\brave.exe or *\opera.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe)
La fuente registró 37,947 coincidencias durante los 30 días anteriores.
Por qué una regla de alta señal puede seguir siendo ruidosa
La relación entre procesos es sospechosa en principio, pero los entornos empresariales pueden introducir comportamientos legítimos activados por el navegador mediante herramientas de gestión, aplicaciones auxiliares, extensiones, marcos de pruebas, instaladores de software o flujos de trabajo personalizados.
El elevado número de eventos significa que la consulta sin refinar no debe tratarse como una alerta de compromiso confirmado sin ajustes.
Un primer paso útil es agregar los resultados por:
navegador;
proceso secundario;
nombre de host;
usuario;
línea de comandos;
ruta del ejecutable.
Esto suele revelar si el volumen procede de un pequeño número de flujos de trabajo conocidos o si hay combinaciones sospechosas repartidas por todo el entorno.
Prioridades de investigación
Una relación poco frecuente entre navegador y shell debe priorizarse, especialmente cuando se combina con:
una línea de comandos inusual o codificada;
creación de archivos en directorios temporales;
descargas externas;
creación de tareas programadas;
modificación de herramientas de seguridad;
conexiones de red salientes inesperadas.
La actividad del navegador en torno al evento también puede aportar contexto útil. Los analistas pueden revisar la sesión del usuario, la versión del navegador, las URL recientes si están disponibles y las alertas del endpoint en el mismo momento.
Estrategia de ajuste
Evite exclusiones amplias, como ignorar todos los eventos chrome.exe → cmd.exe. En su lugar, identifique el mecanismo legítimo exacto responsable de los eventos recurrentes y cree excepciones de alcance muy limitado.
Por ejemplo, una herramienta específica aprobada internamente puede producir una relación conocida entre navegador y proceso secundario en un conjunto limitado de equipos. Excluir únicamente esa ruta de aplicación o ese patrón de línea de comandos conserva la visibilidad en el resto.
Valor práctico de detección
La explotación de navegadores puede ser difícil de identificar solo a partir del tráfico de red, en particular cuando el exploit inicial es de corta duración. La telemetría de procesos del endpoint ofrece otra perspectiva.
Por ello, supervisar los navegadores que de repente se comportan como lanzadores de comandos puede ayudar a exponer actividad de postexplotación incluso cuando el exploit exacto no se observa directamente.
