Microsoft Management Console è un componente legittimo di Windows, ma l’esecuzione di file .msc da posizioni scrivibili dall’utente può rappresentare un utile segnale di threat hunting quando si indaga su una consegna malevola o sullo sfruttamento di gestori di file.
La fonte definisce un rilevamento mirato per mmc.exe che apre file MSC da posizioni in cui possono comparire contenuti scaricati o controllati da un attaccante.
Obiettivo del rilevamento
La query cerca righe di comando MMC che fanno riferimento a file .msc in:
Downloads;
AppData;
Temp;
Users\Public.
La fonte collega specificamente questa ricerca a CVE-2025-26633 e a tecniche analoghe di consegna tramite MMC.
Query di rilevamento
data.win.system.eventID:1 and data.win.eventdata.image:*\mmc.exe and data.win.eventdata.commandLine:(*\Downloads\*.msc or *\AppData\*.msc or *\Temp\*.msc or *\Users\Public\*.msc)
La fonte ha registrato zero corrispondenze nei 30 giorni precedenti.
Perché la posizione è importante
MMC in sé non è sospetto. Il valore deriva dalla posizione del file MSC che viene aperto.
I file nelle cartelle di amministrazione di sistema possono essere attesi. Un file MSC appena scaricato e aperto da un profilo utente o da una cartella temporanea è più insolito e può essere esaminato con priorità.
Questo tipo di rilevamento contestuale è prezioso perché riduce la dipendenza da un nome file o da un hash specifico.
Flusso di indagine
Se la query produce una corrispondenza, gli analisti dovrebbero esaminare:
il percorso completo del file MSC;
ora di creazione del file;
attività del browser o della posta prima dell'esecuzione;
l'utente che ha avviato MMC;
il processo padre di
mmc.exe;eventuali processi figlio creati da MMC;
attività di rete dopo l'esecuzione.
Se MMC avvia cmd.exe, PowerShell, mshta.exe o un altro strumento di sistema, l’evento diventa molto più sospetto.
Considerazioni sull'ottimizzazione
Alcuni strumenti aziendali possono distribuire file MSC legittimi in directory accessibili agli utenti. Questi casi dovrebbero essere documentati ed esclusi con l'ambito più ristretto possibile.
Una buona eccezione può includere un nome file, un percorso, un editore, un hash o un processo di gestione noti, anziché rimuovere un'intera cartella dalla ricerca.
Perché una regola senza risultati può comunque essere preziosa
Un rilevamento non ha bisogno di produrre corrispondenze frequenti per essere utile. Anzi, una regola a basso volume può diventare più concreta, perché ogni futura corrispondenza risalta.
Negli ambienti in cui gli utenti eseguono raramente file MSC scaricati, questa regola può servire come rilevamento mirato di allerta precoce per comportamenti sospetti di MMC.
