Los documentos maliciosos, los archivos comprimidos manipulados y las vulnerabilidades de los controladores de archivos suelen apoyarse en una aplicación de usuario confiable para lograr la ejecución de código nativo. Las relaciones entre procesos en los endpoints pueden ayudar a revelar esta transición.
La fuente define una búsqueda de aplicaciones de Microsoft Office, Adobe Reader, utilidades de compresión, el Explorador de Windows y la Consola de administración de Microsoft que lanzan shells de comandos y otros procesos secundarios sospechosos.
Aplicaciones incluidas en la búsqueda
La lista de procesos principales incluye:
Microsoft Word;
Excel;
PowerPoint;
Outlook;
Adobe Reader;
7-Zip;
WinRAR;
Windows Explorer;
MMC.
La lista de procesos secundarios sospechosos incluye shells de comandos, motores de scripts, LOLBins, herramientas de tareas programadas y Windows Installer.
Consulta de detección
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\winword.exe or *\excel.exe or *\powerpnt.exe or *\outlook.exe or *\acrord32.exe or *\7zfm.exe or *\7zg.exe or *\winrar.exe or *\explorer.exe or *\mmc.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe or *\msiexec.exe)
La fuente asocia la búsqueda con vulnerabilidades de documentos maliciosos y controladores de archivos, entre ellas CVE-2025-0411, CVE-2025-24054, CVE-2025-24985, CVE-2025-24991, CVE-2025-24993, CVE-2025-26633, CVE-2025-8088, CVE-2025-6218 y vulnerabilidades de día cero posteriores de Office o del Shell de Windows.
La consulta devolvió 621 resultados durante los 30 días anteriores.
Interpretar el comportamiento
No todos los procesos secundarios son maliciosos. Algunos documentos contienen automatización legítima, el software empresarial puede registrar controladores de archivos y las utilidades de compresión pueden invocar aplicaciones auxiliares.
La pregunta importante es si la relación entre procesos es la esperada para el usuario, el equipo y el flujo de trabajo concretos.
Por ejemplo, winword.exe → powershell.exe en una estación de trabajo ofimática normal es sustancialmente más interesante que una herramienta de despliegue conocida que invoca msiexec.exe.
Pasos de investigación
Para cada evento sospechoso, revise:
la aplicación principal original;
el archivo que se está abriendo, si está disponible;
argumentos de línea de comandos;
identidad del usuario;
ruta de origen del documento o del archivo comprimido;
hashes de archivos;
conexiones de red;
procesos secundarios adicionales;
archivos creados tras la ejecución.
Si la cadena continúa hacia utilidades de descarga, intérpretes de scripts o comandos de persistencia, el evento debe recibir mayor prioridad.
Reducción de falsos positivos
Comience agrupando los resultados por par de procesos y línea de comandos. Los 621 eventos de la fuente pueden reducirse a un pequeño número de patrones legítimos repetidos.
Las buenas exclusiones son acotadas y explicables. Deben describir un flujo de trabajo aprobado concreto en lugar de eliminar una aplicación completa de la supervisión.
Valor de detección
Esta búsqueda es útil porque no requiere una firma para cada documento o archivo comprimido malicioso. Supervisa el comportamiento que suele seguir a una explotación exitosa.
Esto la convierte en una capa de detección práctica para entornos de endpoints donde los archivos de Office, los archivos comprimidos, los PDF y las consolas administrativas siguen siendo superficies de ataque habituales.
