Microsoft Management Console es un componente legítimo de Windows, pero la ejecución de archivos .msc desde ubicaciones con permiso de escritura para el usuario puede ser una señal útil de búsqueda al investigar una entrega maliciosa o la explotación de controladores de archivos.
La fuente define una detección focalizada para mmc.exe abriendo archivos MSC desde ubicaciones donde pueden aparecer contenidos descargados o controlados por un atacante.
Enfoque de la detección
La consulta busca líneas de comandos de MMC que hagan referencia a archivos .msc en:
Downloads;
AppData;
Temp;
Users\Public.
La fuente conecta específicamente esta búsqueda con CVE-2025-26633 y técnicas de entrega de MMC similares.
Consulta de detección
data.win.system.eventID:1 and data.win.eventdata.image:*\mmc.exe and data.win.eventdata.commandLine:(*\Downloads\*.msc or *\AppData\*.msc or *\Temp\*.msc or *\Users\Public\*.msc)
La fuente registró cero coincidencias durante los 30 días anteriores.
Por qué importa la ubicación
MMC en sí no es sospechoso. El valor está en la ubicación del archivo MSC que se abre.
Los archivos en directorios de administración del sistema pueden ser esperables. Un archivo MSC recién descargado y abierto desde un perfil de usuario o un directorio temporal es más inusual y puede priorizarse para su revisión.
Este tipo de detección contextual es valioso porque reduce la dependencia de un nombre de archivo o un hash concretos.
Flujo de investigación
Si la consulta produce una coincidencia, los analistas deben examinar:
la ruta completa del archivo MSC;
hora de creación del archivo;
actividad del navegador o del correo antes de la ejecución;
el usuario que lanzó MMC;
el proceso padre de
mmc.exe;cualquier proceso secundario creado por MMC;
actividad de red tras la ejecución.
Si MMC lanza cmd.exe, PowerShell, mshta.exe u otra utilidad del sistema, el evento resulta mucho más sospechoso.
Consideraciones de ajuste
Algunas herramientas empresariales pueden distribuir archivos MSC legítimos en directorios accesibles para el usuario. Estos casos deben documentarse y excluirse con el alcance práctico más reducido posible.
Una buena excepción puede incluir un nombre de archivo, una ruta, un editor, un hash o un proceso de gestión conocidos, en lugar de eliminar un directorio completo de la búsqueda.
Por qué una regla sin resultados puede seguir siendo valiosa
Una detección no necesita coincidir con frecuencia para ser útil. De hecho, una regla de bajo volumen puede resultar más accionable, porque cualquier coincidencia futura destaca.
En entornos donde los usuarios rara vez ejecutan archivos MSC descargados, esta regla puede servir como detección de alerta temprana focalizada ante comportamientos sospechosos de MMC.
