La fuente define varias búsquedas para la vulnerabilidad de día cero de Windows CLFS y la cadena de explotación PipeMagic, incluida la actividad asociada con CVE-2025-29824 y el comportamiento posterior de ransomware.

En lugar de depender de un solo indicador, el enfoque de búsqueda de amenazas cubre comandos de preparación, hashes conocidos, infraestructura de comando y control y canalizaciones con nombre.

Preparación con Certutil y MSBuild

La primera consulta busca certutil.exe descargando o procesando contenido remoto, así como ejecuciones de MSBuild o .NET que hacen referencia a directorios con permiso de escritura para el usuario:

data.win.system.eventID:1 and ((data.win.eventdata.image:*\certutil.exe and data.win.eventdata.commandLine:(*http* or *urlcache* or *split*)) or (data.win.eventdata.image:(*\msbuild.exe or *\dotnet.exe) and data.win.eventdata.commandLine:(*\Users\* or *\ProgramData\* or *\Temp\*)))

La fuente registró 44 eventos coincidentes durante los 30 días anteriores.

Hashes de PipeMagic publicados

La segunda consulta busca en los datos de hash de procesos tres valores publicados:

data.win.eventdata.hashes:(*dc54117b965674bad3d7cd203ecf5e7fc822423a3f692895cf5e96e83fb88f6a* or *4843429e2e8871847bc1e97a0f12fa1f4166baa4735dff585cb3b4736e3fe49e* or *297ea881aa2b39461997baf75d83b390f2c36a9a0a4815c81b5cf8be42840fd1*)

La fuente registró cero coincidencias.

Indicadores de C2 y canalizaciones con nombre

La tercera consulta busca un nombre de equipo publicado y un patrón de canalización con nombre:

(data.win.system.eventID:3 and (data.win.eventdata.destinationHostname:"aaaaabbbbbbb.eastus.cloudapp.azure.com" or full_log: "aaaaabbbbbbb.eastus.cloudapp.azure.com")) or (data.win.system.eventID:(17 or 18) and data.win.eventdata.pipeName:*\1.*)

La fuente volvió a registrar cero coincidencias.

Interpretación de los 44 eventos de preparación

La consulta de preparación es más amplia que los indicadores de hash y C2. Certutil, MSBuild y dotnet son herramientas legítimas, por lo que esos 44 eventos requieren una revisión contextual.

Los analistas deben priorizar:

• URL remotas;

• ejecución desde Temp o ProgramData;

• procesos padre inusuales;

• cargas útiles sin firmar;

• actividad poco antes de una escalada de privilegios o de comandos de ransomware.

Por qué importa la diversidad de indicadores

Los hashes y los indicadores de infraestructura son precisos, pero pueden quedar obsoletos o cambiar entre campañas. Las reglas de preparación basadas en comportamiento son más amplias y pueden detectar actividad relacionada incluso cuando no hay una muestra conocida.

Por lo tanto, la estrategia de búsqueda de amenazas más sólida combina ambos.

Flujo de investigación

Ante un evento de preparación, revise el archivo descargado o ejecutado, calcule hashes, compruebe los destinos de red, inspeccione el proceso padre y correlacione con la posterior ejecución como SYSTEM o el comportamiento de ransomware.

Valor operativo

Este conjunto de búsquedas ofrece una vista por capas de la cadena de explotación: comportamiento genérico de preparación, artefactos de malware conocidos e indicadores de comunicación conocidos.

Esa combinación es útil tanto para la búsqueda de amenazas específica de campañas como para una ingeniería de detección más amplia.