Le applicazioni Windows possono talvolta attivare un'autenticazione SMB quando accedono a percorsi appositamente costruiti o a risorse remote. Se la destinazione non è attendibile, questo comportamento può esporre materiale di autenticazione NTLM e diventare un problema di sicurezza delle credenziali.
La fonte include ricerche di rete e DNS incentrate su questo scenario e fa riferimento specifico a CVE-2025-24054.
Rilevamento di rete
La prima query cerca negli eventi di rete Sysmon la porta di destinazione 445 e limita il processo di origine ad applicazioni come Explorer, Outlook, Word, Excel, PowerPoint, SearchProtocolHost o DLLHost.
data.win.system.eventID:3 and data.win.eventdata.destinationPort:445 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\excel.exe or *\powerpnt.exe or *\searchprotocolhost.exe or *\dllhost.exe)
La fonte osserva che il traffico TCP/445 diretto verso Internet deve essere trattato con priorità elevata.
Rilevamento DNS
Una seconda query cerca negli eventi DNS di Sysmon generati da processi comunemente coinvolti nello stesso tipo di accesso alle risorse:
data.win.system.eventID:22 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\searchprotocolhost.exe) and data.win.eventdata.queryName:*
La fonte ha registrato zero risultati corrispondenti nei 30 giorni precedenti.
Perché il contesto è fondamentale
SMB è legittimo in molti ambienti Windows interni. Una connessione da Explorer a un file server interno può essere del tutto prevista.
Il rischio cambia quando un'applicazione Office o un componente della shell di Windows tenta di connettersi tramite SMB a un indirizzo esterno o sconosciuto.
Per questo gli analisti dovrebbero arricchire le informazioni sulla destinazione con:
classificazione interna o esterna;
reputazione del nome host e del dominio;
identità dell'utente;
documento o file di origine;
query DNS precedenti;
log di autenticazione.
Flusso di indagine
Se compare una connessione sospetta, esamini immediatamente l'attività dell'applicazione che l'ha preceduta.
Ad esempio, stabilisca se:
è stato aperto un documento;
è stato effettuato l'accesso a un archivio o a un collegamento;
è avvenuto un download dal browser;
un file conteneva un percorso UNC esterno;
una richiesta DNS è stata risolta verso una destinazione inattesa.
L'obiettivo è capire perché l'applicazione Windows ha tentato di autenticarsi tramite SMB.
Ottimizzazione
L'attività SMB interna può generare molto rumore se la query viene usata senza il contesto della destinazione. Una regola di produzione pratica dovrebbe quindi dare priorità alle destinazioni esterne e agli intervalli di rete noti come non attendibili.
I file server interni e l'infrastruttura approvata possono essere esclusi mediante controlli espliciti sulla destinazione.
Valore di rilevamento
La fonte non ha registrato alcuna corrispondenza, ma la regola resta utile perché una fuga di credenziali tramite SMB può essere molto concreta quando avviene verso Internet.
Il monitoraggio della combinazione di applicazione, protocollo di rete e contesto della destinazione offre un modo mirato per individuare comportamenti sospetti di esposizione NTLM.
