Los procesos con integridad SYSTEM suelen originarse en ubicaciones confiables de Windows o de aplicaciones. Cuando un proceso de nivel SYSTEM se ejecuta desde un directorio con permiso de escritura para el usuario, esa combinación puede ser una señal útil de escalada de privilegios.
La fuente define una búsqueda de comportamiento exactamente para esta condición.
Lógica de detección
La consulta requiere:
Creación de procesos de Sysmon, ID de evento 1;
nivel de integridad establecido en
System;ya sea la imagen del proceso o la imagen principal ubicada en
Users,ProgramDataoTemp.
data.win.system.eventID:1 and data.win.eventdata.integrityLevel:System and (data.win.eventdata.image:(*\Users\* or *\ProgramData\* or *\Temp\*) or data.win.eventdata.parentImage:(*\Users\* or *\ProgramData\* or *\Temp\*))
La fuente asocia la búsqueda con vulnerabilidades de día cero de escalada local de privilegios en el kernel de Windows, CLFS, AFD, Win32k, DWM, Defender y otros componentes de 2025 y 2026.
Registró 1,638 coincidencias durante los 30 días anteriores.
Por qué importan las ubicaciones con permiso de escritura para el usuario
Directorios como las carpetas temporales y partes de los perfiles de usuario suelen tener permiso de escritura para usuarios estándar o aplicaciones. Por ello, la ejecución a nivel SYSTEM desde estas ubicaciones resulta más interesante que la ejecución desde directorios de Windows confiables.
El comportamiento no es automáticamente malicioso. Los instaladores, los mecanismos de actualización o los agentes de gestión empresarial pueden depositar archivos legítimamente en ubicaciones temporales o compartidas.
El valor radica en identificar ejecuciones SYSTEM en las que la ruta, el proceso principal o el archivo no forman parte de la línea base aprobada.
Prioridades de investigación
Para cada evento, revise:
ruta completa del ejecutable;
proceso padre;
hora de creación del archivo;
firma digital;
hash;
usuario asociado con la actividad original;
línea de comandos;
cadena de procesos previa;
procesos secundarios adicionales de nivel SYSTEM.
Si el ejecutable apareció poco antes de su ejecución, identifique qué proceso lo creó.
Línea base y ajuste
Dado que la fuente devolvió más de mil eventos, es necesario un ajuste específico para cada entorno.
Comience agrupando los resultados por:
ruta del ejecutable;
proceso padre;
nombre de host;
firmante;
hash.
La ejecución repetida de un actualizador firmado y conocido puede documentarse. Los binarios poco frecuentes y sin firmar en Temp o en un directorio de usuario merecen más atención.
Oportunidades de correlación
Esta búsqueda se fortalece cuando se combina con:
fallos relacionados con exploits;
actividad sospechosa del navegador o de Office;
modificación de controles de seguridad;
volcado de credenciales;
persistencia;
preparación de ransomware.
Una cadena que va de la ejecución a nivel de usuario a la creación de un proceso a nivel SYSTEM, seguida de acceso a credenciales o persistencia, es especialmente importante.
Valor operativo
La regla ofrece una forma genérica de buscar escaladas de privilegios sin necesidad de una firma para un exploit de kernel concreto.
Al centrarse en la integridad SYSTEM junto con rutas de ejecución inusuales, los defensores pueden identificar un comportamiento que puede aparecer en varias vulnerabilidades de escalada local de privilegios.
