Les applications Windows peuvent parfois déclencher une authentification SMB lorsqu'elles accèdent à des chemins spécialement conçus ou à des ressources distantes. Si la destination n'est pas fiable, ce comportement peut exposer des éléments d'authentification NTLM et devenir un problème de sécurité des identifiants.
La source inclut des recherches réseau et DNS axées sur ce scénario et fait spécifiquement référence à CVE-2025-24054.
Détection réseau
La première requête recherche dans les événements réseau Sysmon le port de destination 445 et limite le processus d'origine à des applications telles qu'Explorer, Outlook, Word, Excel, PowerPoint, SearchProtocolHost ou DLLHost.
data.win.system.eventID:3 and data.win.eventdata.destinationPort:445 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\excel.exe or *\powerpnt.exe or *\searchprotocolhost.exe or *\dllhost.exe)
La source indique que le trafic TCP/445 sortant vers Internet doit être traité en priorité élevée.
Détection DNS
Une seconde requête recherche dans les événements DNS Sysmon générés par des processus généralement impliqués dans le même type d'accès aux ressources :
data.win.system.eventID:22 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\searchprotocolhost.exe) and data.win.eventdata.queryName:*
La source a enregistré zéro résultat correspondant au cours des 30 derniers jours.
Pourquoi le contexte est essentiel
SMB est légitime dans de nombreux environnements Windows internes. Une connexion d'Explorer vers un serveur de fichiers interne peut être tout à fait attendue.
Le risque change lorsqu'une application Office ou un composant du shell Windows tente de se connecter via SMB à une adresse externe ou inconnue.
C'est pourquoi les analystes doivent enrichir les informations de destination avec :
la classification interne ou externe ;
la réputation du nom d'hôte et du domaine ;
l'identité de l'utilisateur ;
le document ou le fichier d'origine ;
les requêtes DNS précédentes ;
les journaux d'authentification.
Processus d'investigation
Si une connexion suspecte apparaît, examinez immédiatement l'activité de l'application qui l'a précédée.
Par exemple, déterminez si :
un document a été ouvert ;
une archive ou un raccourci a été consulté ;
un téléchargement via le navigateur a eu lieu ;
un fichier contenait un chemin UNC externe ;
une requête DNS a été résolue vers une destination inattendue.
L'objectif est de comprendre pourquoi l'application Windows a tenté de s'authentifier via SMB.
Réglage
L'activité SMB interne peut générer beaucoup de bruit si la requête est utilisée sans contexte de destination. Une règle de production pratique doit donc donner la priorité aux destinations externes et aux plages réseau connues comme non fiables.
Les serveurs de fichiers internes et l'infrastructure approuvée peuvent être exclus à l'aide de contrôles de destination explicites.
Valeur de détection
La source n'a enregistré aucune correspondance, mais la règle reste utile, car une fuite d'identifiants via SMB peut être très exploitable lorsqu'elle se produit vers Internet.
La surveillance de la combinaison application, protocole réseau et contexte de destination offre un moyen ciblé d'identifier un comportement suspect d'exposition NTLM.
