Microsoft Management Console est un composant Windows légitime, mais l’exécution de fichiers .msc depuis des emplacements accessibles en écriture par l’utilisateur peut constituer un signal de recherche utile lors de l’investigation d’une livraison malveillante ou de l’exploitation d’un gestionnaire de fichiers.
La source définit une détection ciblée pour mmc.exe ouvrant des fichiers MSC depuis des emplacements où peut apparaître du contenu téléchargé ou contrôlé par un attaquant.
Objet de la détection
La requête recherche des lignes de commande MMC faisant référence à des fichiers .msc dans :
Downloads;
AppData;
Temp;
Users\Public.
La source relie spécifiquement cette recherche à CVE-2025-26633 et à des techniques de livraison MMC similaires.
Requête de détection
data.win.system.eventID:1 and data.win.eventdata.image:*\mmc.exe and data.win.eventdata.commandLine:(*\Downloads\*.msc or *\AppData\*.msc or *\Temp\*.msc or *\Users\Public\*.msc)
La source a enregistré zéro correspondance au cours des 30 derniers jours.
Pourquoi l'emplacement compte
MMC en lui-même n'est pas suspect. L'intérêt vient de l'emplacement du fichier MSC ouvert.
Les fichiers situés dans les répertoires d'administration système peuvent être attendus. Un fichier MSC récemment téléchargé et ouvert depuis un profil utilisateur ou un répertoire temporaire est plus inhabituel et peut être examiné en priorité.
Ce type de détection contextuelle est précieux car il réduit la dépendance à un nom de fichier ou à un hash spécifique.
Processus d'investigation
Si la requête produit une correspondance, les analystes doivent examiner :
le chemin complet du fichier MSC ;
la date de création du fichier ;
l'activité du navigateur ou de la messagerie avant l'exécution ;
l'utilisateur qui a lancé MMC ;
le processus parent de
mmc.exe;tous les processus enfants créés par MMC ;
l'activité réseau après l'exécution.
Si MMC lance cmd.exe, PowerShell, mshta.exe ou un autre utilitaire système, l’événement devient nettement plus suspect.
Considérations d'ajustement
Certains outils d'entreprise peuvent distribuer des fichiers MSC légitimes dans des répertoires accessibles aux utilisateurs. Ces cas doivent être documentés et exclus avec la portée la plus réduite possible.
Une bonne exception peut inclure un nom de fichier, un chemin, un éditeur, un hash ou un processus de gestion connu, plutôt que de retirer un répertoire entier de la recherche.
Pourquoi une règle sans résultat peut rester précieuse
Une détection n'a pas besoin de correspondre fréquemment pour être utile. En fait, une règle à faible volume peut devenir plus exploitable, car toute correspondance future se remarque.
Dans les environnements où les utilisateurs exécutent rarement des fichiers MSC téléchargés, cette règle peut servir de détection d'alerte précoce ciblée pour un comportement MMC suspect.
