Les processus s'exécutant avec l'intégrité SYSTEM proviennent normalement d'emplacements Windows ou applicatifs de confiance. Lorsqu'un processus de niveau SYSTEM s'exécute depuis un répertoire accessible en écriture par l'utilisateur, cette combinaison peut constituer un signal utile d'élévation de privilèges.
La source définit une recherche comportementale correspondant précisément à cette condition.
Logique de détection
La requête exige :
Création de processus Sysmon, ID d'événement 1 ;
niveau d’intégrité défini sur
System;soit l’image du processus, soit l’image parente située sous
Users,ProgramDataouTemp.
data.win.system.eventID:1 and data.win.eventdata.integrityLevel:System and (data.win.eventdata.image:(*\Users\* or *\ProgramData\* or *\Temp\*) or data.win.eventdata.parentImage:(*\Users\* or *\ProgramData\* or *\Temp\*))
La source associe cette recherche à des vulnérabilités jour-zéro d'élévation locale de privilèges affectant le noyau Windows, CLFS, AFD, Win32k, DWM, Defender et d'autres composants, observés en 2025 et 2026.
Elle a enregistré 1,638 correspondances au cours des 30 derniers jours.
Pourquoi les emplacements accessibles en écriture par l'utilisateur comptent
Les répertoires tels que les dossiers temporaires et certaines parties des profils utilisateur sont généralement accessibles en écriture par les utilisateurs standard ou les applications. Une exécution de niveau SYSTEM depuis ces emplacements est donc plus significative qu'une exécution depuis des répertoires Windows de confiance.
Ce comportement n'est pas automatiquement malveillant. Des programmes d'installation, des mécanismes de mise à jour ou des agents de gestion d'entreprise peuvent légitimement déposer des fichiers dans des emplacements temporaires ou partagés.
L'intérêt réside dans l'identification des exécutions SYSTEM dont le chemin, le processus parent ou le fichier ne fait pas partie de la référence approuvée.
Priorités d'investigation
Pour chaque événement, examinez :
le chemin complet de l'exécutable ;
processus parent ;
la date de création du fichier ;
la signature numérique ;
le hash ;
l'utilisateur associé à l'activité d'origine ;
ligne de commande ;
la chaîne de processus précédente ;
les autres processus enfants de niveau SYSTEM.
Si l'exécutable est apparu peu avant son exécution, identifiez quel processus l'a créé.
Référence et ajustement
Comme la source a renvoyé plus d'un millier d'événements, un ajustement propre à l'environnement est nécessaire.
Commencez par regrouper les résultats par :
chemin de l'exécutable ;
processus parent ;
nom d'hôte ;
signataire ;
hash.
L'exécution répétée d'un programme de mise à jour signé et connu peut être documentée. Les binaires rares et non signés sous Temp ou dans un répertoire utilisateur méritent davantage d'attention.
Possibilités de corrélation
Cette recherche devient plus pertinente lorsqu'elle est combinée avec :
des plantages liés à des exploits ;
une activité suspecte du navigateur ou d'Office ;
la modification de contrôles de sécurité ;
extraction d’identifiants ;
persistance ;
préparation de ransomware.
Une chaîne allant de l'exécution au niveau utilisateur à la création d'un processus de niveau SYSTEM, suivie d'un accès aux identifiants ou d'une persistance, est particulièrement importante.
Valeur opérationnelle
Cette règle offre un moyen générique de rechercher les élévations de privilèges sans nécessiter de signature pour un exploit noyau spécifique.
En se concentrant sur l'intégrité SYSTEM associée à des chemins d'exécution inhabituels, les défenseurs peuvent identifier un comportement susceptible d'apparaître dans plusieurs vulnérabilités d'élévation locale de privilèges.
