Moderne browsers voeren dagelijks complexe, mogelijk onbetrouwbare inhoud uit. Wanneer een browserkwetsbaarheid leidt tot uitvoering van systeemeigen code, kan een onverwacht onderliggend proces dat door de browser wordt aangemaakt een van de nuttigste endpointsignalen zijn.

De bron definieert een gedragsgebaseerde zoekactie met een sterk signaal voor deze activiteit in Chrome, Microsoft Edge, Firefox, Brave en Opera.

Verdachte procesrelaties van browsers

De zoekopdracht bewaakt browsers die onderliggende processen aanmaken zoals:

• cmd.exe;

• powershell.exe of pwsh.exe;

• mshta.exe;

• wscript.exe of cscript.exe;

• rundll32.exe;

• regsvr32.exe;

• certutil.exe;

• bitsadmin.exe;

• schtasks.exe.

Deze hulpmiddelen zijn legitiem, maar in veel omgevingen zijn ze ongebruikelijke onderliggende processen bij normale browseractiviteit.

De bron koppelt dit gedrag aan meerdere zero-daykwetsbaarheden in Chrome en Chromium, waaronder CVE-2025-2783, CVE-2025-5419, CVE-2025-6554, CVE-2025-6558, CVE-2025-13223, CVE-2025-14174, CVE-2026-2441, CVE-2026-3910, CVE-2026-5281 en CVE-2026-11645. Ook wordt dekking van de fase na misbruik voor Edge en Firefox genoemd.

Detectiequery

data.win.system.eventID:1 and data.win.eventdata.parentImage:(*\chrome.exe or *\msedge.exe or *\firefox.exe or *\brave.exe or *\opera.exe) and data.win.eventdata.image:(*\cmd.exe or *\powershell.exe or *\pwsh.exe or *\mshta.exe or *\wscript.exe or *\cscript.exe or *\rundll32.exe or *\regsvr32.exe or *\certutil.exe or *\bitsadmin.exe or *\schtasks.exe)

De bron registreerde 37,947 overeenkomsten in de afgelopen 30 dagen.

Waarom een regel met sterk signaal toch ruis kan geven

De procesrelatie is in principe verdacht, maar in bedrijfsomgevingen kan legitiem door de browser geactiveerd gedrag ontstaan via beheerhulpmiddelen, hulptoepassingen, extensies, testkaders, installatieprogramma's of aangepaste werkstromen.

Het grote aantal gebeurtenissen betekent dat de ruwe zoekopdracht zonder afstemming niet als bevestigde compromitteringsmelding moet worden behandeld.

Een nuttige eerste stap is het aggregeren van resultaten op:

• browser;

• onderliggend proces;

• hostnaam;

• gebruiker;

• opdrachtregel;

• pad van het uitvoerbare bestand.

Dit laat meestal zien of het volume afkomstig is van een klein aantal bekende werkstromen of dat verdachte combinaties verspreid zijn over de omgeving.

Onderzoeksprioriteiten

Een zeldzame relatie tussen browser en shell moet prioriteit krijgen, zeker in combinatie met:

• een ongebruikelijke of gecodeerde opdrachtregel;

• bestandscreatie in tijdelijke mappen;

• externe downloads;

• het aanmaken van geplande taken;

• wijziging van beveiligingstools;

• onverwachte uitgaande netwerkverbindingen.

De omringende browseractiviteit kan ook nuttige context bieden. Analisten kunnen de gebruikerssessie, de browserversie, recente URL's (indien beschikbaar) en endpointmeldingen rond hetzelfde tijdstip bekijken.

Afstemmingsstrategie

Vermijd brede uitsluitingen, zoals het negeren van alle chrome.exe → cmd.exe-gebeurtenissen. Identificeer in plaats daarvan het exacte legitieme mechanisme dat verantwoordelijk is voor terugkerende gebeurtenissen en maak nauw afgebakende uitzonderingen.

Een specifieke intern goedgekeurd hulpmiddel kan bijvoorbeeld op een beperkt aantal hosts een bekende relatie tussen browser en onderliggend proces veroorzaken. Door alleen dat toepassingspad of opdrachtregelpatroon uit te sluiten, blijft de zichtbaarheid elders behouden.

Praktische detectiewaarde

Browsermisbruik kan moeilijk te herkennen zijn aan netwerkverkeer alleen, zeker wanneer de initiële exploit kortstondig is. Processtelemetrie van endpoints biedt een ander perspectief.

Het bewaken van browsers die zich plotseling gedragen als opdrachtstarters kan daarom helpen activiteit na misbruik bloot te leggen, ook wanneer de exacte exploit niet direct wordt waargenomen.