I processi con integrità SYSTEM provengono normalmente da percorsi attendibili di Windows o delle applicazioni. Quando un processo a livello SYSTEM viene eseguito da una cartella scrivibile dall'utente, questa combinazione può costituire un utile segnale di elevazione dei privilegi.
La fonte definisce una ricerca comportamentale proprio per questa condizione.
Logica di rilevamento
La query richiede:
Creazione di processi Sysmon, ID evento 1;
livello di integrità impostato su
System;l’immagine del processo oppure l’immagine padre si trova in
Users,ProgramDataoTemp.
data.win.system.eventID:1 and data.win.eventdata.integrityLevel:System and (data.win.eventdata.image:(*\Users\* or *\ProgramData\* or *\Temp\*) or data.win.eventdata.parentImage:(*\Users\* or *\ProgramData\* or *\Temp\*))
La fonte associa la ricerca a vulnerabilità zero-day di elevazione locale dei privilegi nel kernel di Windows, in CLFS, AFD, Win32k, DWM, Defender e in altri componenti, del 2025 e del 2026.
Ha registrato 1,638 corrispondenze nei 30 giorni precedenti.
Perché le posizioni scrivibili dall'utente sono importanti
Cartelle come le cartelle temporanee e parti dei profili utente sono comunemente scrivibili da utenti standard o applicazioni. L'esecuzione a livello SYSTEM da queste posizioni è quindi più significativa dell'esecuzione da cartelle di Windows attendibili.
Il comportamento non è automaticamente dannoso. Programmi di installazione, meccanismi di aggiornamento o agenti di gestione aziendale possono legittimamente collocare file in posizioni temporanee o condivise.
Il valore sta nell'individuare le esecuzioni SYSTEM in cui il percorso, il processo padre o il file non fanno parte della baseline approvata.
Priorità di indagine
Per ogni evento, verifichi:
percorso completo dell'eseguibile;
processo padre;
ora di creazione del file;
firma digitale;
hash;
utente associato all'attività originaria;
riga di comando;
catena di processi precedente;
ulteriori processi figlio a livello SYSTEM.
Se l'eseguibile è comparso poco prima dell'esecuzione, individui quale processo lo ha creato.
Baseline e ottimizzazione
Poiché la fonte ha restituito più di mille eventi, è necessaria un'ottimizzazione specifica per l'ambiente.
Inizi raggruppando i risultati per:
percorso dell'eseguibile;
processo padre;
nome del sistema;
firmatario;
hash.
L'esecuzione ripetuta di un programma di aggiornamento firmato noto può essere documentata. I binari rari e non firmati in Temp o in una cartella utente meritano maggiore attenzione.
Opportunità di correlazione
Questa ricerca diventa più solida se combinata con:
crash correlati a exploit;
attività sospetta del browser o di Office;
modifica dei controlli di sicurezza;
estrazione delle credenziali;
persistenza;
staging di ransomware.
Una catena che va dall'esecuzione a livello utente alla creazione di un processo a livello SYSTEM, seguita da accesso alle credenziali o persistenza, è particolarmente importante.
Valore operativo
La regola offre un modo generico per cercare l'elevazione dei privilegi senza richiedere una firma per uno specifico exploit del kernel.
Concentrandosi sull'integrità SYSTEM unita a percorsi di esecuzione insoliti, i difensori possono individuare un comportamento che può comparire in più vulnerabilità di elevazione locale dei privilegi.
