La source définit plusieurs recherches pour la faille jour-zéro Windows CLFS et la chaîne d'exploitation PipeMagic, y compris l'activité associée à CVE-2025-29824 et le comportement ultérieur de ransomware.

Plutôt que de s'appuyer sur un seul indicateur, l'approche de chasse couvre les commandes de préparation, les hashes connus, l'infrastructure de commande et contrôle et les canaux nommés.

Préparation avec Certutil et MSBuild

La première requête recherche certutil.exe téléchargeant ou traitant du contenu distant, ainsi que l’exécution de MSBuild ou .NET faisant référence à des répertoires accessibles en écriture par l’utilisateur :

data.win.system.eventID:1 and ((data.win.eventdata.image:*\certutil.exe and data.win.eventdata.commandLine:(*http* or *urlcache* or *split*)) or (data.win.eventdata.image:(*\msbuild.exe or *\dotnet.exe) and data.win.eventdata.commandLine:(*\Users\* or *\ProgramData\* or *\Temp\*)))

La source a enregistré 44 événements correspondants au cours des 30 derniers jours.

Hashes PipeMagic publiés

La deuxième requête recherche dans les données de hash des processus trois valeurs publiées :

data.win.eventdata.hashes:(*dc54117b965674bad3d7cd203ecf5e7fc822423a3f692895cf5e96e83fb88f6a* or *4843429e2e8871847bc1e97a0f12fa1f4166baa4735dff585cb3b4736e3fe49e* or *297ea881aa2b39461997baf75d83b390f2c36a9a0a4815c81b5cf8be42840fd1*)

La source a enregistré zéro correspondance.

Indicateurs C2 et de canaux nommés

La troisième requête recherche un nom d'hôte publié et un modèle de canal nommé :

(data.win.system.eventID:3 and (data.win.eventdata.destinationHostname:"aaaaabbbbbbb.eastus.cloudapp.azure.com" or full_log: "aaaaabbbbbbb.eastus.cloudapp.azure.com")) or (data.win.system.eventID:(17 or 18) and data.win.eventdata.pipeName:*\1.*)

La source a de nouveau enregistré zéro correspondance.

Interprétation des 44 événements de préparation

La requête de préparation est plus large que les indicateurs de hash et de C2. Certutil, MSBuild et dotnet sont des outils légitimes ; ces 44 événements nécessitent donc un examen contextuel.

Les analystes devraient prioriser :

• URL distantes ;

• exécution depuis Temp ou ProgramData ;

• processus parents inhabituels ;

• charges utiles non signées ;

• activité peu avant une élévation de privilèges ou des commandes de ransomware.

Pourquoi la diversité des indicateurs est importante

Les hashes et les indicateurs d'infrastructure sont précis, mais peuvent devenir obsolètes ou changer d'une campagne à l'autre. Les règles comportementales de préparation sont plus larges et peuvent détecter une activité connexe même en l'absence d'un échantillon connu.

La stratégie de chasse la plus solide combine donc les deux.

Processus d'investigation

Pour un événement de préparation, examinez le fichier téléchargé ou exécuté, calculez les hashes, vérifiez les destinations réseau, inspectez le processus parent et corrélez avec une exécution SYSTEM ou un comportement de ransomware ultérieurs.

Valeur opérationnelle

Cet ensemble de recherches offre une vue en couches de la chaîne d'exploitation : comportement de préparation générique, artefacts de malware connus et indicateurs de communication connus.

Cette combinaison est utile à la fois pour la chasse spécifique à une campagne et pour l'ingénierie de détection plus large.