Las aplicaciones de Windows a veces pueden desencadenar una autenticación SMB cuando acceden a rutas manipuladas o a recursos remotos. Si el destino no es de confianza, este comportamiento puede exponer material de autenticación NTLM y convertirse en un problema de seguridad de credenciales.
La fuente incluye búsquedas de red y DNS centradas en este escenario y hace referencia específica a CVE-2025-24054.
Detección de red
La primera consulta busca en los eventos de red de Sysmon el puerto de destino 445 y limita el proceso de origen a aplicaciones como Explorer, Outlook, Word, Excel, PowerPoint, SearchProtocolHost o DLLHost.
data.win.system.eventID:3 and data.win.eventdata.destinationPort:445 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\excel.exe or *\powerpnt.exe or *\searchprotocolhost.exe or *\dllhost.exe)
La fuente señala que el tráfico TCP/445 con destino a Internet debe tratarse como de alta prioridad.
Detección DNS
Una segunda consulta busca en los eventos DNS de Sysmon generados por procesos que suelen intervenir en el mismo tipo de acceso a recursos:
data.win.system.eventID:22 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\searchprotocolhost.exe) and data.win.eventdata.queryName:*
La fuente registró cero resultados coincidentes durante los 30 días anteriores.
Por qué el contexto es fundamental
SMB es legítimo en muchos entornos Windows internos. Una conexión de Explorer a un servidor de archivos interno puede ser completamente esperada.
El riesgo cambia cuando una aplicación de Office o un componente del shell de Windows intenta conectarse mediante SMB a una dirección externa o desconocida.
Por eso los analistas deben enriquecer la información de destino con:
clasificación interna o externa;
reputación del nombre de host y del dominio;
identidad del usuario;
documento o archivo de origen;
consultas DNS previas;
registros de autenticación.
Flujo de investigación
Si aparece una conexión sospechosa, revise de inmediato la actividad de la aplicación anterior a ella.
Por ejemplo, determine si:
se abrió un documento;
se accedió a un archivo comprimido o a un acceso directo;
se produjo una descarga desde el navegador;
un archivo contenía una ruta UNC externa;
una solicitud DNS se resolvió hacia un destino inesperado.
El objetivo es comprender por qué la aplicación de Windows intentó autenticarse mediante SMB.
Ajuste
La actividad SMB interna puede generar mucho ruido si la consulta se utiliza sin contexto de destino. Por ello, una regla de producción práctica debe priorizar los destinos externos y los rangos de red conocidos como no confiables.
Los servidores de archivos internos y la infraestructura aprobada pueden excluirse mediante controles de destino explícitos.
Valor de detección
La fuente no registró ninguna coincidencia, pero la regla sigue siendo útil, ya que una fuga de credenciales por SMB puede ser muy accionable cuando ocurre hacia Internet.
Supervisar la combinación de aplicación, protocolo de red y contexto de destino ofrece una forma focalizada de identificar comportamientos sospechosos de exposición de NTLM.
