I browser moderni eseguono ogni giorno contenuti complessi e potenzialmente non attendibili. Quando una vulnerabilità del browser porta all'esecuzione di codice nativo, uno dei segnali più utili sull'endpoint può essere un processo figlio inatteso creato dal browser.
La fonte definisce una ricerca comportamentale ad alto segnale per questa attività su Chrome, Microsoft Edge, Firefox, Brave e Opera.
Relazioni sospette tra i processi del browser
La query monitora i browser che creano processi figlio come:
cmd.exe;powershell.exeopwsh.exe;mshta.exe;wscript.exeocscript.exe;rundll32.exe;regsvr32.exe;certutil.exe;bitsadmin.exe;schtasks.exe.
Questi strumenti sono legittimi, ma in molti ambienti sono processi figlio insoliti per la normale attività di un browser.
La fonte collega questo comportamento a diverse vulnerabilità zero-day di Chrome e Chromium, tra cui CVE-2025-2783, CVE-2025-5419, CVE-2025-6554, CVE-2025-6558, CVE-2025-13223, CVE-2025-14174, CVE-2026-2441, CVE-2026-3910, CVE-2026-5281 e CVE-2026-11645. Segnala inoltre la copertura del post-sfruttamento per Edge e Firefox.
Query di rilevamento
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\chrome.exe or *\msedge.exe or *\firefox.exe or *\brave.exe or *\opera.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe)
La fonte ha registrato 37,947 corrispondenze nei 30 giorni precedenti.
Perché una regola ad alto segnale può comunque essere rumorosa
La relazione tra i processi è sospetta in linea di principio, ma negli ambienti aziendali possono comparire comportamenti legittimi innescati dal browser tramite strumenti di gestione, applicazioni di supporto, estensioni, librerie di test, programmi di installazione o flussi di lavoro personalizzati.
L'elevato numero di eventi significa che la query grezza non dovrebbe essere trattata come un alert di compromissione confermata senza ottimizzazione.
Un primo passo utile è aggregare i risultati per:
browser;
processo figlio;
nome del sistema;
utente;
riga di comando;
percorso dell'eseguibile.
Questo di solito rivela se il volume deriva da un piccolo numero di flussi di lavoro noti o se combinazioni sospette sono sparse nell'intero ambiente.
Priorità di indagine
Una rara relazione tra browser e shell dovrebbe avere la priorità, soprattutto se combinata con:
una riga di comando insolita o codificata;
creazione di file in cartelle temporanee;
download esterni;
creazione di attività pianificate;
modifica di strumenti di sicurezza;
connessioni di rete in uscita inattese.
Anche l'attività circostante del browser può fornire un contesto utile. Gli analisti possono esaminare la sessione utente, la versione del browser, gli URL recenti se disponibili e gli alert dell'endpoint nello stesso periodo.
Strategia di ottimizzazione
Eviti esclusioni ampie, come ignorare tutti gli eventi chrome.exe → cmd.exe. Individui invece l’esatto meccanismo legittimo responsabile degli eventi ricorrenti e crei eccezioni con un ambito molto ristretto.
Ad esempio, uno specifico strumento approvato internamente può produrre una nota relazione browser-processo figlio su un numero limitato di host. Escludere solo quel percorso applicativo o quello schema di riga di comando preserva la visibilità altrove.
Valore pratico di rilevamento
Lo sfruttamento dei browser può essere difficile da individuare dal solo traffico di rete, in particolare quando l’exploit iniziale ha vita breve. La telemetria dei processi sugli endpoint offre un'altra prospettiva.
Monitorare i browser che improvvisamente si comportano come avviatori di comandi può quindi aiutare a far emergere l'attività di post-sfruttamento anche quando l'exploit esatto non viene osservato direttamente.
