La fonte definisce diverse ricerche per la vulnerabilità zero-day di Windows CLFS e la catena di sfruttamento PipeMagic, inclusa l'attività associata a CVE-2025-29824 e il successivo comportamento ransomware.

Anziché un singolo indicatore, l'approccio di ricerca copre comandi di staging, hash noti, infrastruttura di comando e controllo e named pipe.

Staging con Certutil e MSBuild

La prima query cerca certutil.exe che scarica o elabora contenuti remoti, nonché esecuzioni di MSBuild o .NET che fanno riferimento a cartelle scrivibili dall’utente:

data.win.system.eventID:1 and ((data.win.eventdata.image:*\certutil.exe and data.win.eventdata.commandLine:(*http* or *urlcache* or *split*)) or (data.win.eventdata.image:(*\msbuild.exe or *\dotnet.exe) and data.win.eventdata.commandLine:(*\Users\* or *\ProgramData\* or *\Temp\*)))

La fonte ha registrato 44 eventi corrispondenti nei 30 giorni precedenti.

Hash PipeMagic pubblicati

La seconda query cerca negli hash dei processi tre valori pubblicati:

data.win.eventdata.hashes:(*dc54117b965674bad3d7cd203ecf5e7fc822423a3f692895cf5e96e83fb88f6a* or *4843429e2e8871847bc1e97a0f12fa1f4166baa4735dff585cb3b4736e3fe49e* or *297ea881aa2b39461997baf75d83b390f2c36a9a0a4815c81b5cf8be42840fd1*)

La fonte ha registrato zero corrispondenze.

Indicatori di C2 e named pipe

La terza query cerca un hostname pubblicato e un pattern di named pipe:

(data.win.system.eventID:3 and (data.win.eventdata.destinationHostname:"aaaaabbbbbbb.eastus.cloudapp.azure.com" or full_log: "aaaaabbbbbbb.eastus.cloudapp.azure.com")) or (data.win.system.eventID:(17 or 18) and data.win.eventdata.pipeName:*\1.*)

La fonte ha nuovamente registrato zero corrispondenze.

Interpretazione dei 44 eventi di staging

La query di staging è più ampia degli indicatori di hash e C2. Certutil, MSBuild e dotnet sono strumenti legittimi, quindi questi 44 eventi richiedono una revisione contestuale.

Gli analisti dovrebbero dare priorità a:

• URL remoti;

• esecuzione da Temp o ProgramData;

• processi padre insoliti;

• payload non firmati;

• attività poco prima di un'elevazione dei privilegi o di comandi ransomware.

Perché la diversità degli indicatori è importante

Hash e indicatori di infrastruttura sono precisi, ma possono diventare obsoleti o cambiare da una campagna all'altra. Le regole di staging comportamentali sono più ampie e possono rilevare attività correlate anche in assenza di un campione noto.

La strategia di ricerca più solida combina quindi entrambi.

Flusso di indagine

Per un evento di staging, esamini il file scaricato o eseguito, calcoli gli hash, controlli le destinazioni di rete, ispezioni il processo padre e lo correli con la successiva esecuzione SYSTEM o con comportamenti ransomware.

Valore operativo

Questo insieme di ricerche offre una visione a più livelli della catena di sfruttamento: comportamento di staging generico, artefatti di malware noti e indicatori di comunicazione noti.

Questa combinazione è utile sia per l'hunting specifico per campagna sia per una detection engineering più ampia.