Tous les exploits ne produisent pas une charge utile immédiatement visible ou une chaîne de processus évidente. La corruption de mémoire et l'exploitation de pilotes noyau peuvent aussi se manifester par des plantages d'applications, des défaillances de services ou des erreurs de composants système.

La source inclut une recherche qui utilise la télémétrie de plantage Windows comme signal supplémentaire lorsque les preuves d'exécution directe peuvent manquer.

Composants inclus dans la recherche

La requête recherche dans les ID d'événement Windows 1000 et 1001 les messages faisant référence à :

• clfs.sys ;

• afd.sys ;

• les composants Win32k ;

• dwmcore.dll ;

• lsass.exe ;

• netlogon.dll ;

• Chrome;

• Microsoft Edge;

• les composants liés à V8.

Requête de détection

data.win.system.eventID:(1000 or 1001) and data.win.system.message:(clfs.sys or afd.sys or win32k* or dwmcore.dll or lsass.exe or netlogon.dll or chrome.dll or msedge.dll or v8*)

La source décrit cette règle comme une couverture de la corruption de mémoire et de l'exploitation de pilotes noyau lorsque l'exécution de la charge utile n'est pas visible.

Elle a enregistré zéro événement au cours des 30 derniers jours.

Pourquoi les événements de plantage peuvent être utiles

Un plantage seul ne prouve pas une exploitation. Des défauts logiciels, des pilotes instables, des problèmes matériels et des défaillances d'applications normales peuvent tous générer des événements similaires.

Cependant, la télémétrie de plantage peut devenir précieuse lorsqu'elle survient :

• sur un système exposé à Internet ou sensible ;

• immédiatement après une entrée suspecte ;

• à proximité d'indicateurs d'exploitation du navigateur ou d'une application ;

• peu avant une exécution SYSTEM inattendue ;

• de façon répétée sur plusieurs systèmes.

L'événement apporte un élément de contexte supplémentaire qui peut être corrélé avec des signaux de sécurité plus forts.

Approche d'investigation

Pour un événement de plantage pertinent, les analystes doivent examiner :

• le processus ou le module concerné ;

• rôle de l'hôte ;

• l'horodatage exact ;

• la version de l'application ;

• les événements de création de processus à proximité ;

• les écritures de fichiers ;

• l'activité réseau ;

• les alertes de sécurité.

Si plusieurs endpoints présentent le même schéma de plantage inhabituel après une activité similaire, l'événement peut mériter une escalade.

Éviter la surinterprétation

La télémétrie de plantage ne doit pas être traitée comme une règle de compromission autonome. Sa valeur réside principalement dans la corrélation et la chasse aux menaces.

Par exemple, un plantage de navigateur suivi de l'exécution de PowerShell serait plus suspect que le plantage seul. De même, un plantage lié à un pilote suivi d'un processus SYSTEM exécuté depuis Temp peut constituer une chaîne plus solide.

Utilisation opérationnelle

Cette règle est utile comme analyse complémentaire plutôt que comme alerte principale. Elle peut aider à faire apparaître des tentatives d'exploitation qui échouent, réussissent partiellement ou ne produisent pas de télémétrie claire de charge utile.

L'absence de résultats sur la période de la source ne réduit pas sa valeur. Des schémas de plantage rares peuvent devenir importants lorsqu'ils coïncident avec d'autres indicateurs d'endpoint.