Documenti dannosi, archivi manipolati e vulnerabilità dei gestori di file si basano spesso su un'applicazione utente attendibile per ottenere l'esecuzione di codice nativo. Le relazioni tra i processi sugli endpoint possono aiutare a far emergere questa transizione.
La fonte definisce una ricerca per applicazioni Microsoft Office, Adobe Reader, strumenti di archiviazione, Esplora risorse di Windows e Microsoft Management Console che avviano shell dei comandi e altri processi figlio sospetti.
Applicazioni incluse nella ricerca
L'elenco dei processi padre comprende:
Microsoft Word;
Excel;
PowerPoint;
Outlook;
Adobe Reader;
7-Zip;
WinRAR;
Windows Explorer;
MMC.
L'elenco dei processi figlio sospetti comprende shell dei comandi, motori di script, LOLBin, strumenti per le attività pianificate e Windows Installer.
Query di rilevamento
data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\winword.exe or *\excel.exe or *\powerpnt.exe or *\outlook.exe or *\acrord32.exe or *\7zfm.exe or *\7zg.exe or *\winrar.exe or *\explorer.exe or *\mmc.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe or *\msiexec.exe)
La fonte associa la ricerca a vulnerabilità di documenti dannosi e gestori di file, tra cui CVE-2025-0411, CVE-2025-24054, CVE-2025-24985, CVE-2025-24991, CVE-2025-24993, CVE-2025-26633, CVE-2025-8088, CVE-2025-6218 e successivi zero-day di Office o della Shell di Windows.
La query ha restituito 621 risultati nei 30 giorni precedenti.
Interpretare il comportamento
Non tutti i processi figlio sono dannosi. Alcuni documenti contengono automazione legittima, il software aziendale può registrare gestori di file e gli strumenti di archiviazione possono richiamare applicazioni di supporto.
La domanda importante è se la relazione tra i processi sia attesa per lo specifico utente, host e flusso di lavoro.
Ad esempio, winword.exe → powershell.exe su una normale postazione d’ufficio è sostanzialmente più interessante di uno strumento di distribuzione noto che richiama msiexec.exe.
Fasi dell'indagine
Per ogni evento sospetto, esamini:
l'applicazione padre originaria;
il file aperto, se disponibile;
argomenti della riga di comando;
identità dell'utente;
percorso di origine del documento o dell'archivio;
hash dei file;
connessioni di rete;
ulteriori processi figlio;
file creati dopo l'esecuzione.
Se la catena prosegue verso utility di download, interpreti di script o comandi di persistenza, l'evento dovrebbe ricevere una priorità più alta.
Ridurre i falsi positivi
Inizi raggruppando i risultati per coppia di processi e riga di comando. I 621 eventi della fonte possono ridursi a un piccolo numero di schemi legittimi ripetuti.
Le buone esclusioni sono circoscritte e spiegabili. Dovrebbero descrivere uno specifico flusso di lavoro approvato anziché rimuovere un'intera applicazione dal monitoraggio.
Valore di rilevamento
Questa ricerca è utile perché non richiede una firma per ogni documento o archivio dannoso. Monitora il comportamento che spesso segue uno sfruttamento riuscito.
Ciò la rende un livello di rilevamento pratico per gli ambienti degli endpoint in cui file Office, archivi, PDF e console amministrative restano superfici di attacco comuni.
