La monitorización del canal de eventos Security de Windows identificó intentos fallidos de realizar una operación privilegiada durante una serie de cambios y actualizaciones de controladores.
Los eventos implicaban el privilegio de Windows SeLoadDriverPrivilege y se observaron en dos dispositivos distintos.
Ubicación del evento
Ubicación: EventChannel
Canal: Security
Los eventos detectados procedían del canal de eventos Security de Windows y estaban relacionados con operaciones privilegiadas realizadas en los dispositivos afectados.
Causa de los eventos
Los eventos fueron generados por intentos fallidos de realizar una operación privilegiada mediante SeLoadDriverPrivilege.
Los fallos se produjeron durante múltiples cambios y actualizaciones de controladores en dos dispositivos distintos.
Por tanto, la actividad de mantenimiento de controladores proporcionó el contexto operativo de los fallos de operaciones privilegiadas observados en los eventos de seguridad.
Por qué se detectó la actividad
Los fallos repetidos de operaciones privilegiadas pueden crear un cambio notable en la actividad de eventos de seguridad.
En este caso, se generaron varios eventos relacionados durante los cambios y actualizaciones de controladores, lo que creó el patrón identificado por la monitorización.
La información proporcionada vincula los eventos con la actividad de mantenimiento de controladores y no con una operación maliciosa confirmada.
Contexto de la investigación
El contexto de investigación relevante es la relación entre las operaciones privilegiadas fallidas y los cambios de controladores que se produjeron en los dos dispositivos.
Al revisar los eventos en conjunto, es posible identificar que los fallos de SeLoadDriverPrivilege se produjeron durante múltiples cambios y actualizaciones de controladores.
Conclusión
La anomalía en el canal de eventos Security de Windows fue causada por intentos fallidos de realizar una operación privilegiada que implicaba SeLoadDriverPrivilege.
La actividad se produjo durante múltiples cambios y actualizaciones de controladores en dos dispositivos diferentes, lo que proporcionó el contexto necesario para explicar los eventos de seguridad detectados.
