Les navigateurs modernes exécutent chaque jour des contenus complexes et potentiellement non fiables. Lorsqu'une vulnérabilité de navigateur entraîne l'exécution de code natif, l'un des signaux d'endpoint les plus utiles peut être un processus enfant inattendu créé par le navigateur.
La source définit une recherche comportementale à fort signal pour cette activité sur Chrome, Microsoft Edge, Firefox, Brave et Opera.
Relations suspectes entre processus de navigateur
La requête surveille les navigateurs qui créent des processus enfants tels que :
cmd.exe;powershell.exeoupwsh.exe;mshta.exe;wscript.exeoucscript.exe;rundll32.exe;regsvr32.exe;certutil.exe;bitsadmin.exe;schtasks.exe.
Ces outils sont légitimes, mais ce sont des processus enfants inhabituels pour une activité normale de navigateur dans de nombreux environnements.
La source relie ce comportement à plusieurs vulnérabilités jour-zéro de Chrome et Chromium, notamment CVE-2025-2783, CVE-2025-5419, CVE-2025-6554, CVE-2025-6558, CVE-2025-13223, CVE-2025-14174, CVE-2026-2441, CVE-2026-3910, CVE-2026-5281 et CVE-2026-11645. Elle mentionne également une couverture de la post-exploitation sur Edge et Firefox.
Requête de détection
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\chrome.exe or *\msedge.exe or *\firefox.exe or *\brave.exe or *\opera.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe)
La source a enregistré 37,947 correspondances au cours des 30 derniers jours.
Pourquoi une règle à fort signal peut rester bruyante
La relation entre processus est suspecte en principe, mais les environnements d'entreprise peuvent introduire des comportements légitimes déclenchés par le navigateur via des outils de gestion, des applications auxiliaires, des extensions, des frameworks de test, des programmes d'installation ou des flux de travail personnalisés.
Le nombre élevé d'événements signifie que la requête brute ne doit pas être traitée comme une alerte de compromission confirmée sans ajustement.
Une première étape utile consiste à agréger les résultats par :
navigateur ;
processus enfant ;
nom d'hôte ;
utilisateur ;
ligne de commande ;
chemin de l'exécutable.
Cela révèle généralement si le volume provient d'un petit nombre de flux de travail connus ou si des combinaisons suspectes sont réparties dans tout l'environnement.
Priorités d'investigation
Une relation rare entre navigateur et shell doit être traitée en priorité, en particulier lorsqu'elle est combinée avec :
une ligne de commande inhabituelle ou encodée ;
la création de fichiers dans des répertoires temporaires ;
des téléchargements externes ;
la création de tâches planifiées ;
la modification d'outils de sécurité ;
des connexions réseau sortantes inattendues.
L'activité environnante du navigateur peut également apporter un contexte utile. Les analystes peuvent examiner la session utilisateur, la version du navigateur, les URL récentes si elles sont disponibles et les alertes d'endpoint à la même période.
Stratégie de réglage
Évitez les exclusions larges, comme ignorer tous les événements chrome.exe → cmd.exe. Identifiez plutôt le mécanisme légitime exact responsable des événements récurrents et créez des exceptions étroitement ciblées.
Par exemple, un outil spécifique approuvé en interne peut produire une relation connue entre navigateur et processus enfant sur un nombre limité d'hôtes. N'exclure que ce chemin d'application ou ce motif de ligne de commande préserve la visibilité ailleurs.
Valeur pratique de détection
L'exploitation de navigateur peut être difficile à identifier à partir du seul trafic réseau, en particulier lorsque l'exploit initial est de courte durée. La télémétrie de processus des endpoints offre une autre perspective.
Surveiller les navigateurs qui se comportent soudainement comme des lanceurs de commandes peut donc aider à révéler une activité de post-exploitation, même lorsque l'exploit exact n'est pas observé directement.
