Les documents malveillants, les archives piégées et les vulnérabilités de gestionnaires de fichiers s'appuient souvent sur une application utilisateur de confiance pour atteindre l'exécution de code natif. Les relations entre processus sur les endpoints peuvent aider à révéler cette transition.
La source définit une recherche portant sur les applications Microsoft Office, Adobe Reader, les utilitaires d'archivage, l'Explorateur Windows et la console Microsoft Management Console qui lancent des interpréteurs de commandes et d'autres processus enfants suspects.
Applications incluses dans la recherche
La liste des processus parents comprend :
Microsoft Word;
Excel;
PowerPoint;
Outlook;
Adobe Reader;
7-Zip;
WinRAR;
Windows Explorer;
MMC.
La liste des processus enfants suspects comprend les interpréteurs de commandes, les moteurs de script, les LOLBins, les outils de tâches planifiées et Windows Installer.
Requête de détection
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\winword.exe or *\excel.exe or *\powerpnt.exe or *\outlook.exe or *\acrord32.exe or *\7zfm.exe or *\7zg.exe or *\winrar.exe or *\explorer.exe or *\mmc.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe or *\msiexec.exe)
La source associe cette recherche à des vulnérabilités de documents malveillants et de gestionnaires de fichiers, notamment CVE-2025-0411, CVE-2025-24054, CVE-2025-24985, CVE-2025-24991, CVE-2025-24993, CVE-2025-26633, CVE-2025-8088, CVE-2025-6218, ainsi qu'à des vulnérabilités jour-zéro ultérieures d'Office ou du shell Windows.
La requête a renvoyé 621 résultats au cours des 30 derniers jours.
Interpréter le comportement
Tous les processus enfants ne sont pas malveillants. Certains documents contiennent une automatisation légitime, des logiciels d'entreprise peuvent enregistrer des gestionnaires de fichiers, et les utilitaires d'archivage peuvent invoquer des applications auxiliaires.
La question importante est de savoir si la relation entre processus est attendue pour l'utilisateur, l'hôte et le flux de travail concernés.
Par exemple, winword.exe → powershell.exe sur un poste de travail bureautique normal est nettement plus intéressant qu’un outil de déploiement connu invoquant msiexec.exe.
Étapes d'investigation
Pour chaque événement suspect, examinez :
l'application parente d'origine ;
le fichier ouvert, s'il est disponible ;
arguments de ligne de commande ;
l'identité de l'utilisateur ;
le chemin source du document ou de l'archive ;
hashes de fichiers ;
connexions réseau ;
les autres processus enfants ;
les fichiers créés après l'exécution.
Si la chaîne se poursuit vers des utilitaires de téléchargement, des interpréteurs de script ou des commandes de persistance, l'événement doit recevoir une priorité plus élevée.
Réduire les faux positifs
Commencez par regrouper les résultats par paire de processus et ligne de commande. Les 621 événements de la source peuvent se réduire à un petit nombre de schémas légitimes répétés.
De bonnes exclusions sont étroites et explicables. Elles doivent décrire un flux de travail approuvé précis plutôt que retirer une application entière de la surveillance.
Valeur de détection
Cette recherche est utile car elle ne nécessite pas de signature pour chaque document ou archive malveillant. Elle surveille le comportement qui suit souvent une exploitation réussie.
Elle constitue ainsi une couche de détection pratique pour les environnements d'endpoints où les fichiers Office, les archives, les PDF et les consoles d'administration restent des surfaces d'attaque courantes.
