Windows-applicaties kunnen soms SMB-authenticatie activeren wanneer zij toegang krijgen tot speciaal vervaardigde paden of externe resources. Als de bestemming niet vertrouwd is, kan dit gedrag NTLM-authenticatiemateriaal blootleggen en een probleem voor de beveiliging van inloggegevens worden.
De bron bevat netwerk- en DNS-zoekacties gericht op dit scenario en verwijst specifiek naar CVE-2025-24054.
Netwerkdetectie
De eerste zoekopdracht doorzoekt Sysmon-netwerkgebeurtenissen op bestemmingspoort 445 en beperkt het initiërende proces tot toepassingen zoals Explorer, Outlook, Word, Excel, PowerPoint, SearchProtocolHost of DLLHost.
data.win.system.eventID:3 and data.win.eventdata.destinationPort:445 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\excel.exe or *\powerpnt.exe or *\searchprotocolhost.exe or *\dllhost.exe)
De bron merkt op dat naar internet gericht TCP/445-verkeer als hoge prioriteit moet worden behandeld.
DNS-detectie
Een tweede zoekopdracht doorzoekt Sysmon-DNS-gebeurtenissen van processen die gewoonlijk betrokken zijn bij hetzelfde type toegang tot bronnen:
data.win.system.eventID:22 and data.win.eventdata.image:(*\explorer.exe or *\outlook.exe or *\winword.exe or *\searchprotocolhost.exe) and data.win.eventdata.queryName:*
De bron registreerde nul overeenkomende resultaten in de afgelopen 30 dagen.
Waarom context cruciaal is
SMB is in veel interne Windows-omgevingen legitiem. Een verbinding van Explorer naar een interne bestandsserver kan volkomen verwacht zijn.
Het risico verandert wanneer een Office-toepassing of een component van de Windows-shell via SMB probeert verbinding te maken met een extern of onbekend adres.
Daarom moeten analisten de bestemmingsinformatie verrijken met:
classificatie als intern of extern;
reputatie van hostnaam en domein;
gebruikersidentiteit;
oorspronkelijk document of bestand;
voorafgaande DNS-query's;
authenticatielogboeken.
Onderzoeksworkflow
Als er een verdachte verbinding verschijnt, controleer dan onmiddellijk de toepassingsactiviteit die eraan voorafging.
Stel bijvoorbeeld vast of:
een document is geopend;
een archief of snelkoppeling is geopend;
een download via de browser heeft plaatsgevonden;
een bestand een extern UNC-pad bevatte;
een DNS-verzoek naar een onverwachte bestemming is omgezet.
Het doel is te begrijpen waarom de Windows-toepassing probeerde zich via SMB te authenticeren.
Afstemming
Interne SMB-activiteit kan aanzienlijke ruis veroorzaken als de zoekopdracht zonder bestemmingscontext wordt gebruikt. Een praktische productieregel moet daarom prioriteit geven aan externe bestemmingen en bekende onbetrouwbare netwerkbereiken.
Interne bestandsservers en goedgekeurde infrastructuur kunnen worden uitgesloten met expliciete bestemmingscontroles.
Detectiewaarde
De bron registreerde geen overeenkomsten, maar de regel blijft nuttig omdat het lekken van inloggegevens via SMB zeer bruikbaar kan zijn wanneer het richting internet plaatsvindt.
Het monitoren van de combinatie van toepassing, netwerkprotocol en bestemmingscontext biedt een gerichte manier om verdacht NTLM-blootstellingsgedrag te identificeren.
